请大家看看安天实验室说的这个是否病毒

yesiyuan

原文链接：http://antiy.com/security/report/20060717.htm
大致如下：
Trojan-Downloader.Win32.Delf.ain分析

2006 年 07 月 17 日
安天CERT

病毒标签：
	病毒名称： Trojan-Downloader.Win32.Delf.ain 病毒类型： 木马 文件 MD5： 8B10932BA81F41561EA62FF3E0426A17 公开范围： 完全公开 危害等级： 中 文件长度： 66,056 字节 感染系统： windows98以上版本 开发工具： Microsoft Visual C++ 6.0 加壳类型： 未知壳 命名对照： Symentec[Hacktool] 　　　　　 Mcafee[无]
病毒描述：
	该病毒属木马类，病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作，从而盗取用户敏感信息，并以邮件的形式发送给病毒作者。释放修改系统时间的文件到文件夹%system32%\CatRoot2下，使病毒文件的新建时间与系统时间不一至，同时释放文件碎片恢复文件%system32%\CatRoot2\.edb.chk，此文件可以恢复被删除的病毒文件，给手工删除此病毒带来了一定的困难。此病毒对用户有一定危害。

行为分析：

1、病毒运行后在%system32%\CatRoot2下新建了大量.log文件，用以记录键盘操作： %system32%\CatRoot2\res1.log %system32%\CatRoot2\res2.log %system32%\CatRoot2\edb.log %system32%\CatRoot2\dberr.txt %system32%\CatRoot2\edbtmp.log %system32%\CatRoot2\edb0001b.log 2、病毒记录键盘操作，并以邮件的形式发送给病毒作者： 病毒作者邮箱：refdom@263.net 3、释放修改系统时间的文件到文件夹%system32%\CatRoot2下,使病毒文件的新建时间与系统时间不一至： %system32%\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb %system32%\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\TimeStamp %system32%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ catdb %system32%\CatRoot2\{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\ TimeStamp %system32%\CatRoot2\tmp.edb 4、释放文件碎片恢复文件，用来恢复被删除的病毒文件，从而给手工删除此病毒带来了一定的困难： %system32%\CatRoot2\.edb.chk 注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

yesiyuan

我大致看了一下，自己的机子以及公司里的机子全部都有catroot2这个文件夹，里面好像全部都有这些文件。卡巴不能查出来

y37007

  有分析就没错了，哈，看名字是下载者？

HC303

我的也有哦，机子上三个杀软都没有查到？
不过生成的文件里下面二个没有
%system32%\CatRoot2\edbtmp.log
%system32%\CatRoot2\edb0001b.log

qigang

最好有分析样本。

tanlimo

感觉有点扯蛋，我的系统自从安装到电脑还没连网前就有这些文件了，我的系统安装盘可是2004年买的，从2004到现在还没有那个杀软说我的系统中有这病毒呢。

jehovah_king

mine
文件大小限制 发了一部分

[ 本帖最后由 jehovah_king 于 2007-12-5 00:24 编辑 ]

yesiyuan

顶一下，希望看到最终说法

sam.to

kis7不报，已上报

jehovah_king

newvirus@kaspersky.com  致 我
显示详细信息  12月5日

Hello.
No malicious software was found in the attached file.

Please quote all when answering. Do not forget to include you registration data.
-----------------
Regards, Maslennikov Denis
Virus Analyst, Kaspersky Lab.

Ph.: +7(495) 797-8700
E-mail: newvirus@kaspersky.com
http://www.kaspersky.com   http://www.viruslist.com


> Attachment: CatRoot2.rar

>  http://antiy.com/security/report/20060717.htm  said it contains virus file and its logs and said %system32%\CatRoot2\.edb.chk is used to recover the virus file when it is deleted,is that true?would you mind check it for me?
>  kav7 user
>  best regards
>
>   kY0
我把完整的发过去，回复了