suspicious file

绅博周幸

绅博周幸

A-Squared  Found nothing
AntiVir  Found HEUR/Crypted  
ArcaVir  Found nothing
Avast  Found nothing
AVG Antivirus  Found nothing
BitDefender  Found nothing
ClamAV  Found nothing
CPsecure  Found Troj.Downloader.W32.Adload.fk  
Dr.Web  Found nothing
F-Prot Antivirus  Found nothing
F-Secure Anti-Virus  Found nothing
Fortinet  Found nothing
Kaspersky Anti-Virus  Found nothing
NOD32  Found nothing
Norman Virus Control  Found nothing
Panda Antivirus  Found nothing
Rising Antivirus  Found nothing
Sophos Antivirus  Found nothing
VirusBuster  Found nothing
VBA32  Found nothing

kp2006

kv2008主动防御

点允许 文件目录a生成$$336699.bat

试图运行cmd.exe


:try
del "D:\DOCUME~1\ADMINI~1\桌面\a\a.exe"
if exist "D:\DOCUME~1\ADMINI~1\桌面\a\a.exe" goto try
del "D:\DOCUME~1\ADMINI~1\桌面\a\$$336699.bat"


系统监控

d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory = D:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 设置可疑注册表             2007-10-9 上午 08:19:25 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders                                                                                                           创建可疑注册表键            2007-10-9 上午 08:19:28 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows                                                                                                                                                      创建可疑注册表键            2007-10-9 上午 08:19:28 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\wxpSetup100.txt                                                                                                                                                                试图在系统文件夹中创建文件       2007-10-9 上午 08:20:29 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory = D:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 设置可疑注册表             2007-10-9 上午 08:22:20 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders                                                                                                           创建可疑注册表键            2007-10-9 上午 08:22:23 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows                                                                                                                                                      创建可疑注册表键            2007-10-9 上午 08:22:23 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\wxpSetup100.txt                                                                                                                                                                试图在系统文件夹中创建文件       2007-10-9 上午 08:23:27 允许              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\cmd.exe                                                                                                                                                                        试图运行程序              2007-10-9 上午 08:24:16 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Cache\Paths\Directory = D:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5 设置可疑注册表             2007-10-9 上午 08:31:12 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders                                                                                                           创建可疑注册表键            2007-10-9 上午 08:31:13 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       HKEY_LOCAL_MACHINE\Software\Microsoft\Windows                                                                                                                                                      创建可疑注册表键            2007-10-9 上午 08:31:14 拒绝              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\wxpSetup100.txt                                                                                                                                                                试图在系统文件夹中创建文件       2007-10-9 上午 08:31:22 允许              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\cmd.exe                                                                                                                                                                        试图运行程序              2007-10-9 上午 08:31:42 允许              
d:\documents and settings\administrator\桌面\a\a.exe                       D:\WINDOWS\system32\cmd.exe /c D:\DOCUME~1\ADMINI~1\桌面\a\$$336699.bat                                                                                                                              试图运行程序              2007-10-9 上午 08:32:38 拒绝

[ 本帖最后由 kp2006 于 2007-10-9 16:39 编辑 ]

绅博周幸

卡巴主防防住

wangjay1980

suspicious file
熊猫报壳大法

promised

C:\ABC\a.rar:\a.exe - 可疑代码段 被发现 (Level: 180)

capsshift

红伞启发报了，就不测试了。

buycard

原帖由 wangjay1980 于 2007-10-9 16:54 发表
suspicious file
熊猫报壳大法

并非完全如此

绅博周幸

Hello.
New malicious software was found in the attached file.
Trojan-Downloader.Win32.Delf.ckc
It's detection will be included in the next update. Thank you for your
help.

Please quote all when answering. Do not forget to include you
registration data.
-----------------
Regards, Maslennikov Denis
Virus Analyst, Kaspersky Lab.

Ph.: +7(495) 797-8700
E-mail: newvirus@kaspersky.com
http://www.kaspersky.com   http://www.viruslist.com

> Attachment: a.rar

>  Kaspersky miss>  achm`

Love=卡巴+费尔

修改值:5

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: 05 28 19 E1 49 74 5D 22 92 5E F5 93 8A B9 17 EB F1 DC 67 B7 66 EB E0 A4 F0 02 C3 64 80 27 E0 FD 0E 36 80 04 4D C0 E1 CD F8 9A 73 C6 C3 A9 4C FD 3F 4E C7 4B C1 0E EB 06 35 48 AC F7 FD 28 31 8B 98 C9 52 F6 58 53 46 9D 0F C5 D1 01 1D DA EB F9 HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: D8 D3 19 D1 79 E4 42 D2 15 AD E3 C2 72 13 13 64 9F E1 D1 BC 03 30 BE FB 6E ED 5E 1F 76 A6 4C 88 36 57 82 9C C9 B8 F7 CE 62 DE 79 66 0B 5E 7F 86 B2 E8 62 52 7C BB CF CA 93 89 6D 7E 07 17 4E 33 0E FC 1B B8 E7 32 8C 70 9C 69 A6 FD 9B 79 C3 C4 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_HVFPHG: 09 00 00 00 11 00 00 00 F0 AE D0 0D A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_HVFPHG: 09 00 00 00 12 00 00 00 90 41 F9 1B A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_EHACNGU: 09 00 00 00 11 00 00 00 D0 42 D5 0D A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_EHACNGU: 09 00 00 00 12 00 00 00 70 D5 FD 1B A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_EHACNGU:P:\Qbphzragf naq Frggvatf\Nqzvavfgengbe\桌面\n.rkr: 09 00 00 00 07 00 00 00 D0 42 D5 0D A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_EHACNGU:P:\Qbphzragf naq Frggvatf\Nqzvavfgengbe\桌面\n.rkr: 09 00 00 00 08 00 00 00 70 D5 FD 1B A9 0A C8 01 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings: 3C 00 00 00 04 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 70 21 B1 03 A9 0A C8 01 01 00 00 00 0A 00 02 0F 00 00 00 00 00 00 00 00 HKU\S-1-5-21-842925246-1606980848-854245398-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\SavedLegacySettings: 3C 00 00 00 05 00 00 00 01 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 04 00 00 00 00 00 00 00 70 21 B1 03 A9 0A C8 01 01 00 00 00 0A 00 02 0F 00 00 00 00 00 00 00 00

文件增加:2

C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\DP7EO2XN\wxpSetup100[1].txt C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\D7JO0JWF\wxpSetup100[2].txt

文件修改:9

C:\WINDOWS\system32\config\software.LOG C:\WINDOWS\system32\wxpSetup100.txt C:\WINDOWS\Prefetch\A.EXE-04769685.pf C:\WINDOWS\Prefetch\WXPSETUP100.EXE-03583296.pf C:\Documents and Settings\Administrator\Local Settings\History\History.IE5\index.dat C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\D7JO0JWF\wxpSetup100[1].txt C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\index.dat C:\Documents and Settings\Administrator\Cookies\index.dat C:\Documents and Settings\Administrator\ntuser.dat.LOG

[ 本帖最后由 Love=卡巴+费尔 于 2007-10-10 03:23 编辑 ]