卡巴miss,快上報吧.....

蔚藍領域

Joker

C:\Documents and Settings\Administrator\桌面\Mytobis.rar » RAR » Mytobis.com » RAR » Setup.exe - a variant of Win32/PSW.OnLineGames.NFF trojan

Graybird

Starting the file scan:

Begin scan in 'E:\Mytobis.rar'
E:\Mytobis.rar
  [0] Archive type: RAR
    --> Mytobis.com
      [1] Archive type: RAR SFX (self extracting)
      --> Setup.exe
          [DETECTION] Is the Trojan horse TR/Crypt.NSPM.Gen
      [WARNING]   The file was ignored!

zwl2828

C:\Users\Wesley\Downloads\Mytobis.rar » RAR » Mytobis.com » RAR » Setup.exe - a variant of Win32/PSW.OnLineGames.NFF trojan

kkgh

程序:
C:\DOCUMENTS AND SETTINGS\ZH\桌面\MYTOBIS.COM
木马程序生成以下文件:
1) C:\PROGRAM FILES\SETUP.EXE
2) C:\WINDOWS\HELP\F3C74E3FA248.DLL
3) C:\PROGRAM FILES\INST.EXE
是否删除木马程序及其衍生物?
微点干掉

wanzhende

KV主动防御拦截了，不过扫描不出病毒～
此程序会向C:\Program Files释放inst.exe,并试图运行inst.exe，点击“允许”放过后，会在C:\Program Files创建MyPic文件夹，并释放黄色图片，之后会用c:\program files\inst.exe调用C:\Program Files\Setup.exe ，我选择结束进程没有往下进行测试，成功拦载～

[ 本帖最后由 wanzhende 于 2007-12-30 10:11 编辑 ]

醉一生爱妍

蜘蛛KKKK.......

fankj660

Antivirus          Version          Last Update          Result
AhnLab-V3        2007.12.29.11        2007.12.29        -
AntiVir        7.6.0.46        2007.12.29        TR/Crypt.NSPM.Gen
Authentium        4.93.8        2007.12.29        -
Avast        4.7.1098.0        2007.12.29        Win32:OnLineGames-BKJ
AVG        7.5.0.516        2007.12.29        -
BitDefender        7.2        2007.12.29        -
CAT-QuickHeal        9.00        2007.12.29        -
ClamAV        0.91.2        2007.12.30        Worm.Mytob.IS
DrWeb        4.44.0.09170        2007.12.29        Trojan.PWS.Gamania.origin
eSafe        7.0.15.0        2007.12.27        -
eTrust-Vet        31.3.5412        2007.12.29        -
Ewido        4.0        2007.12.29        -
FileAdvisor        1        2007.12.30        -
Fortinet        3.14.0.0        2007.12.29        -
F-Prot        4.4.2.54        2007.12.29        -
F-Secure        6.70.13030.0        2007.12.30        -
Ikarus        T3.1.1.15        2007.12.30        -
Kaspersky        7.0.0.125        2007.12.30        -
McAfee        5195        2007.12.28        -
Microsoft        1.3109        2007.12.29        PWS:Win32/Wowsteal.gen!A
NOD32v2        2755        2007.12.29        a variant of Win32/PSW.OnLineGames.NFF
Norman        5.80.02        2007.12.28        -
Panda        9.0.0.4        2007.12.30        Suspicious file
Prevx1        V2        2007.12.30        -
Rising        20.24.52.00        2007.12.29        -
Sophos        4.24.0        2007.12.29        Mal/LineDLL-B
Sunbelt        2.2.907.0        2007.12.28        -
Symantec        10        2007.12.30        -
TheHacker        6.2.9.175        2007.12.29        -
VBA32        3.12.2.5        2007.12.29        suspected of Embedded.MalwareScope.Trojan-PSW.Game.14
VirusBuster        4.3.26:9        2007.12.29        Packed/NSPack
Webwasher-Gateway        6.6.2        2007.12.29        Trojan.Crypt.NSPM.Gen

fankj660

http://www.virustotal.com/result ... 4d3a51a1a6b5089c242


这是地址。

Spider

原帖由 kkgh 于 2007-12-30 10:07 发表
程序:
C:\DOCUMENTS AND SETTINGS\ZH\桌面\MYTOBIS.COM
木马程序生成以下文件:
1) C:\PROGRAM FILES\SETUP.EXE
2) C:\WINDOWS\HELP\F3C74E3FA248.DLL
3) C:\PROGRAM FILES\INST.EXE
是否删除木马程序及其衍生物 ...

原帖由 wanzhende 于 2007-12-30 10:09 发表
KV主动防御拦截了，不过扫描不出病毒～
此程序会向C:\Program Files释放inst.exe,并试图运行inst.exe，点击“允许”放过后，会在C:\Program Files创建MyPic文件夹，并释放黄色图片，之后会用c:\program files\inst. ...

我来补充一点，还要释放 F3c74e3fa248.dll 文件和同名的 EXE 文件，DLL 文件注入到 Explorer.exe 和 Verclsid.exe，F3c74e3fa248.exe 就运行在程序管理器中。还要往注册表的 ShellExecutHooks 添加一个键值并且注册成 Run 启动项。总的来说这是一个比较低级的病毒，我本来想练一下手动杀毒，哪知道先用金山清理专家扫了一下就把它干掉了。