红伞说是木马，但我杀不了

mofunzone

真可笑，用vmunpacker拖壳之后来过雨伞？
我始终是相信手动拖壳的，vm拖壳完了根本连入库都没改，所以antivir直接报这个

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\My Documents\mminstall_unpacked.exe'
C:\Documents and Settings\Administrator\My Documents\
  mminstall_unpacked.exe
      [DETECTION] File has been compressed with an unusual runtime compression tool (PCK/Dumped). Please verify the origin of the file
      [WARNING]   The file was ignored!

The EQs

关闭报壳看看是不是过了

mofunzone

不过就改几个特征过一下红伞还是小意思的，至于拖壳免杀还是算了吧

The EQs

偶这里脱壳后有N多过AVIRA的。。。。就是不上报。。。。还有加ASPACK过AVIRA的

mofunzone

你真的知道dumped是什么意思么。。
eq2同学？

capsshift

这玩意儿过了微点。过不了红伞。还是要双剑合璧，才行。
红伞报
Virus or unwanted program 'TR/Spy.Gen [TR/Spy.Gen]'
detected in file 'C:\WINDOWS\system32\p0rh3ht870.dll.
Action performed: Move file to quarantine
Error detected in AntiVir Guard.
Error message:        Action failed for file: C:\WINDOWS\system32\drivers\3evdv9i7n.sys
Error code:        [0x00000005 - 拒绝访问。].
Error detected in AntiVir Guard.
Error message:        Action failed for file: C:\WINDOWS\system32\drivers\tfh5i.sys
Error code:        [0x00000005 - 拒绝访问。].


看hpb531ugk.sys这个文件要顽固些。
C:\WINDOWS\system32\tcjx.dll
      [DETECTION] Is the Trojan horse TR/Spy.Gen
      [INFO]      The file was moved to '475abede.qua'!
C:\WINDOWS\system32\drivers\hpb531ugk.sys
      [WARNING]   The file could not be opened!

才用unlocker解锁，那个hpb531ugk.sys就不见了，应该是被删除了吧。

[ 本帖最后由 capsshift 于 2007-9-19 14:42 编辑 ]

mofunzone

我这里都不用加壳，一个输入表加密什么病毒都能过nod，鸽子偶尔除外，因为毕竟是被nod定位烂掉的东西

风野胤

原帖由 mofunzone 于 2007-9-19 14:20 发表
真可笑，用vmunpacker拖壳之后来过雨伞？
我始终是相信手动拖壳的，vm拖壳完了根本连入库都没改，所以antivir直接报这个

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\M ...

这是脱壳脱坏了吧
上次才问阿米这个报的意思的

The EQs

原帖由 风野胤 于 2007-9-19 14:25 发表

这是脱壳脱坏了吧
上次才问阿米这个报的意思的

AVIRA专门针对脱壳过的手段。。。。。VT上的AVIRA已经将报壳给卡嚓了。。。所以只有jotti上有显示

mofunzone

发现我改的东西还把kav给免了。。
果然我不适合给这种病毒做免杀，一点挑战性都没有，实在懒得免杀nod了，genetic最好免，稍微改动一下就ok