[8655de]镜像劫持的，nod32未知

欠妳緈諨

只有AVAST报已知

king6808

已删除：木马程序 Trojan-Downloader.Win32.QQHelper.adk        文件　: G:\Temp\9.8\Unistall64.zip/Unistall64.exe

运指如飞

小红伞杀掉

Virus or unwanted program 'HEUR/Malware [HEUR/Malware]'
detected in file 'F:\Temporary Internet Files\Content.IE5\G9KHEZGD\Unistall64[1].zip.
Action performed: Move file to quarantine

孤独更可靠

这个比较有技术含量``

查找:

00509F53   push    0050A0D8                          ASCII "NotifyWnd"
00509F71   push    0050A0E4                          ASCII "Afx:400000:0"
00509F83   push    0050A0F4                          ASCII "Button"
00509FA4   push    0050A0FC                          ASCII "AVP.AlertDialog"
00509FC2   push    0050A10C                          ASCII "AVP.Product_Notification"
00509FE3   push    0050A134                          ASCII "#32770"
0050A004   push    0050A14C                          UNICODE "#32770"
0050A022   push    0050A15C                          ASCII "###McAlertWindow###"
0050A05C   push    0050A134                          ASCII "#32770"
0050A096   push    0050A134                          ASCII "#32770"

类名,发送关闭消息,每5毫秒循环一次````





获得inf目录,复制病毒副本:



后注册服务,调用子程序,释放另外一个病毒dll,应该是Vermin.dll




和系统进程EXplorer共享内存,其实是映射,当病毒进程被结束的时候,由Explorer重新加载:




下载木马:




够狠毒啊

soft_killer

MP
木马下载者 Trojan-Downloader.Win32.QQHelper.ftp
http://bbs.micropoint.com.cn/showthread.asp?tid=16980&fpage=1