一个很可疑的EXE，但是众多杀软MISS。（再附其产物）

hyxuzhimin

看了一下SRSSO.EXE的信息，是微软的远程协助？ 难道是微软自己的后门？还是误报呢？请大家查一下Windows/System32下有没有这个东西？

[ 本帖最后由 hyxuzhimin 于 2007-12-29 15:44 编辑 ]

1688388728

我的远程协助关掉了.

hyxuzhimin

我同事电脑里没有找到这个东西，看来是坏东西了。删掉也不会引起系统崩溃。

will

我是E文XP SP3 V.3264   
system.ini内容如下：

[drivers]
wave=mmdrv.dll
timer=timer.drv

[mci]
[driver32]
[386enh]
woafont=app936.FON
EGA80WOA.FON=EGA80WOA.FON
EGA40WOA.FON=EGA40WOA.FON
CGA80WOA.FON=CGA80WOA.FON
CGA40WOA.FON=CGA40WOA.FON

啊弥陀佛

微点砍掉

clovedsm

用sandboxie运行了下，好像没什么特殊情况发生，

hyxuzhimin

刚才又双击了一下SRSSO.EXE.。发几张图片，以证明它是木马。
如果是远程协助，为什么启动它以后，在进程上有，而服务里的远程服务却没有打开。然后EQ开始拦截它的非法操作，规则是EQ区找的百毒不侵的规则。 PS:图片编号是按时间发展顺序截的图并编上去的号。
第二张图里的F:盘是我把它复制到F盘来试验用的，试想如果在C盘，它肯定生成TMP.EXE文件。

[ 本帖最后由 hyxuzhimin 于 2007-12-29 16:07 编辑 ]

hyxuzhimin

原帖由 yimike 于 2007-12-29 15:51 发表
我是E文XP SP3 V.3264   
system.ini内容如下：

System.ini 应该被EQ防住了吧。和你的对照了一下，一样的。

dikex

启动方面随便写了个注册表键值，连复制副本到系统文件夹也懒得复制了，直接指向你运行它时的路径……

读取http://www.locksen.com/zb/url.txt

web=www.onlinedown.net/soft/60964.htm
web=www.newhua.com/soft/59103.htm
web=www.skycn.com/soft/37895.html
web=www.onlinedown.net/soft/39109.htm
web=www.skycn.com/soft/37856.html
web=www.skycn.com/soft/37837.html
url=http://www.locksen.com/zb/lsrss.exe


下载里面的exe文件（失效了）以及访问里面的网页
看了一下，里面的都是一些软件，而且制作的都是hoposoft.com或者hoposoft.net（貌似同一个来的），所以估计这个东西是用来刷流量，好让自己做的软件的排名上升

[ 本帖最后由 dikex 于 2007-12-29 17:17 编辑 ]

hyxuzhimin

对呀，楼上兄弟给的URL，我的ESS的HTTP自定义网络拦截弹出过这些窗口，当时我正在浏览网页所以没有在意，看来就是那个时候木马生效了。虽然ESS拦截了它去这些地址，但是没有发现这是木马。如果它真的是盗号的或者什么的就很难说没有损失了，因为木马不一定是HTTP协议通讯啊。

[ 本帖最后由 hyxuzhimin 于 2007-12-29 16:55 编辑 ]