隐藏在Winrar下的病毒

袋鼠吱吱

藏在winrar下，也算是聪明的家伙。OK，大家看看能杀吗？

国内那个多引擎我原本寄予厚望的，现在发现，扫到几个AV时，就不动弹了，我是昨晚去的，扫到NOD32没反映了，好失望啊，比起国外还是有差距。

[ 本帖最后由 袋鼠吱吱 于 2007-12-31 09:58 编辑 ]

醉一生爱妍

WINRA.DLL 江民报鸽子07

醉一生爱妍

那个INI文件也杀了

袋鼠吱吱

不错噢，看来江民有起色。呵呵。帮我转达一下亲切的关怀与慰问：BUG解决了吗？

wangjay1980

detected: Trojan program Backdoor.Win32.Hupigon.aoiz        File: C:\Documents and Settings\Owner\×ÀÃæ\winra\IEFILES.INI
detected: Trojan program Backdoor.Win32.Hupigon.aoiz        File: C:\Documents and Settings\Owner\×ÀÃæ\winra\winra.dll

a256886572008

2007-12-31 10:01:27    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\explorer.exe
檔案路徑:D:\cc.exe
觸發規則:所有程序規則->系統程式_黑名單->?:\*


2007-12-31 10:01:32    建立檔案      操作:允許
程序路徑:D:\cc.exe
檔案路徑:C:\Program Files\WinRAR\WinRA.dll
觸發規則:所有程序規則->全域設定_可執行檔案1_普通模式->*.dll


2007-12-31 10:01:36    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\BNS Service
登錄檔名稱:[Key]
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-31 10:01:39    安裝服務或驅動      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\Program Files\WinRAR\WinRA.dll
觸發規則:所有程序規則->*


2007-12-31 10:01:41    建立登錄檔值      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
登錄檔路徑:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\BNS Service
登錄檔名稱:ImagePath
登錄檔數值:C:\Program Files\WinRAR\WinRA.dll
觸發規則:所有程序規則->服務_普通模式->HKEY_LOCAL_MACHINE\SYSTEM\*controlset*\Services\*


2007-12-31 10:01:44    執行應用程序      操作:允許
程序路徑:C:\WINDOWS\system32\services.exe
檔案路徑:C:\Program Files\WinRAR\WinRA.dll
觸發規則:所有程序規則->*

2007-12-31 10:01:47    執行應用程序      操作:允許
程序路徑:C:\Program Files\WinRAR\WinRA.dll
檔案路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE
觸發規則:所有程序規則->系統程式_白名單->%ProgramFiles%\Internet Explorer\IEXPLORE.EXE


2007-12-31 10:01:50    修改其它程序記憶體      操作:允許
程序路徑:C:\Program Files\WinRAR\WinRA.dll
目標程序:C:\Program Files\Internet Explorer\IEXPLORE.EXE
觸發規則:所有程序規則->*


2007-12-31 10:01:59    存取實體記憶體      操作:封鎖
程序路徑:C:\Program Files\Internet Explorer\IEXPLORE.EXE

觸發規則:所有程序規則->*

經查詢，此IP在大陸的 南寧市！

啊弥陀佛

一个DLL文件

a256886572008

把 .dll 改名為 .exe，

就可以象我一樣測試了

[ 本帖最后由 a256886572008 于 2007-12-31 10:15 编辑 ]

yangpizhi

-----------------------------SCAN REPORT-----------------------------
F-PROT Antivirus for Windows

Antivirus Scanning Engine version number: 4.4.2
Virus signature file from: 2007-12-31, 5:54

Scan name: [Custom Scan]
Path to scan: C:\样本 yangpizhi\winra

Normal scan
Also scan: Inside subfolders, Compressed files, Streams

Scan started: 2007-12-31, 10:25:47
---------------------------------------------------------------------

[Found possible security risk]         <W32/Heuristic-162!Eldorado (not disinfectable)>        C:\样本 yangpizhi\winra\winra\IEFILES.INI->(Klone.D)->(Aspack)
[Quarantined]        C:\样本 yangpizhi\winra\winra\IEFILES.INI->(Klone.D)->(Aspack)
[Found backdoor]         <W32/Hupigon.A.gen!Eldorado (not disinfectable, generic)>        C:\样本 yangpizhi\winra\winra\winra.dll
[Quarantined]        C:\样本 yangpizhi\winra\winra\winra.dll

---------------------------------------------------------------------
Scan ended:        2007-12-31, 10:25:49
Duration:        0:00:02

Scan result:

Scanned files:                 2
Infected objects:         2
Disinfected objects:         0
Quarantined files:         2
---------------------------------------------------------------------

couldsst

BD
C:\a\winra.rar=]winra.dll Generic.Graybird.ECD1960A