伪linkinfo马吉斯？,rm.exe穿影子

卡巴报了

曲中求

咖啡

2007-12-17        10:28:56        引擎版本=5200.2160
2007-12-17        10:28:56        防病毒 DAT 版本=5186.0000
2007-12-17        10:28:56        EXTRA.DAT 中的检测项特征码数=无
2007-12-17        10:28:56        EXTRA.DAT 中的检测项特征码名称=无
2007-12-17        10:28:44        扫描已启动        MICROSOF-F67B91\Administrator        按需扫描
2007-12-17        10:28:57        未采取操作         Administrator        C:\Documents and Settings\Administrator\桌面\linkinfo.rar\RM.EXE        W32/Almanahe(病毒)
2007-12-17        10:28:57        未采取操作         Administrator        C:\Documents and Settings\Administrator\桌面\linkinfo.rar\WEB.EXE\WEB.EXE        W32/Almanahe.dr(病毒)
2007-12-17        10:28:57        未采取操作         Administrator        C:\Documents and Settings\Administrator\桌面\linkinfo.rar\ISDRV122.SYS        W32/Almanahe.sys.gen(特洛伊)
2007-12-17        10:28:57        未采取操作         Administrator        C:\Documents and Settings\Administrator\桌面\linkinfo.rar\LINKINFO.DLL        W32/Almanahe.dll(病毒)

黄金马甲出租

不是伪装的，是变种吧

solcroft

rm.exe在%windir%\help下生成随机文件名dll，通过shellexecutehooks启动
没有穿过returnil