一个顽固的驱动

byxxdrls

此驱动在正常情况下无法复制，用３６０的文件粉碎机粉碎后，即使勾选了“防止再次生成”，也无济于事，因为马上此免疫文件夹被重命名。用xdelbox删除也未成功，xdelbox的启动菜单一直不能删除。不知是什么原因。

VirSCAN.org Scanned Report :
Scanned time   : 2008/01/03 11:12:40 (CST)
Scanner results: 22%的杀软(8/36)报告发现病毒
File Name      : chzw.sys
File Size      : 23392 byte
File Type      : MS-DOS executable (EXE), OS/2 or MS Windows
MD5            : 3c35822bcd55ef80f7a94eed9a12df4d
SHA1           : 78488ec9a2e8d66f1fabd9c84783705b3362d2f1
Online report  : http://virscan.org/report/ee4fdb964faad45f9786a0dda3cf5f49.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.0.0.126       2008.01.02        2008-01-02  2.91   -
安博士V3       2008.01.03.00   2008.01.03        2008-01-03  1.35   -
AntiVir        7.6.0.46        7.0.1.187         2008-01-02  2.22   TR/Rootkit.Gen
Arcavir        1.0.4           200801021159      2008-01-02  1.64   -
AVAST          1.0.8           080102-1          2008-01-02  3.05   -
AVG            7.5.49.442      269.17.13/1207    2008-01-02  2.59   BackDoor.Generic9.JYY
BitDefender    7.60825.963197  7.16670           2008-01-03  6.22   -
CA (VET)       9.0.0.143       31.3.5426         2008-01-03  11.52  -
ClamAV         0.91.2          5344              2008-01-03  0.07   -
Comodo         2.11            2.0.0.392         2008-01-02  1.02   -
CP Secure      1.1.0.655       2008.01.03        2008-01-03  5.48   -
Dr.WEB         4.44.0.9170     2008.01.02        2008-01-02  4.62   -
ewido          4.0.0.2         2008.01.02        2008-01-02  2.32   -
F-PROT         4.4.1.52        20080102          2008-01-02  1.69   Possible W32/Cinmus.E.gen!Eldorado (not disinfectable)
F-SECURE       5.51.6100       2008.01.02.06     2008-01-02  5.47   -
飞塔           2.81-3.11       8.449             2007-12-03  0.26   -
ViRobot        20080102        2008.01.02        2008-01-02  0.39   -
IKARUS         T3.1.01.15      2008.01.03.70089  2008-01-03  1.25   Trojan-Downloader.Win32.Agent.bbb
江民杀毒       10.00.650       2008.01.02        2008-01-02  1.19   -
卡巴斯基       5.5.10          2008.01.03        2008-01-03  5.33   -
金山毒霸       2007.6.20.249   2008.1.3          2008-01-03  0.85   -
迈克菲         5.2.00          5198              2008-01-02  1.22   -
MKS_VIR        2.01            2008.01.02        2008-01-02  5.07   -
NOD32          2.70.10         2762              2008-01-02  0.02   a variant of Win32/Rootkit.Agent.NCK trojan
NORMAN         5.91.08         5.90              2008-01-01  4.67   Farfli.AX
熊猫卫士       9.04.03.0001    2008.01.02        2008-01-02  3.33   -
趋势           8.500-1001      4.928.02          2008-01-02  0.05   -
Prevx          V2              20080103          2008-01-03  17.66  -
QuickHeal      9.00            2008.01.02        2008-01-02  2.59   -
瑞星           19.0            20.25.22.00       2008-01-02  1.30   -
SOPHOS         2.49.1          4.21              2007-12-29  8.57   Troj/NTRootK-CH
赛门铁克       1.3.0.24        20080102.002      2008-01-02  0.24   -
nProtect       2008-01-03.00   1109381           2008-01-03  4.62   -
The Hacker     6.2.9           v00178            2008-01-02  1.14   -
VBA32          3.12.2.5        20080101.2040     2008-01-01  1.96   -
VirusBuster    4.3.19:9        9.118.13/11.0     2008-01-02  2.59   Rootkit.QQHelp.Gen.5

wangjay1980

Hello,

chzw.sys - Trojan-Downloader.Win32.Hmir.pm

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Ermilov Maxim
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.



> Attachment: chzw.rar

Palkia

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\桌面\chzw.rar'
C:\Documents and Settings\Administrator\桌面\chzw.rar
  [0] Archive type: RAR
  --> chzw.sys
      [DETECTION] Is the Trojan horse TR/Rootkit.Gen
      [INFO]      A backup was created as '47f670f4.qua'  ( QUARANTINE )
      [INFO]      The file was deleted!

绅博周幸

扫描报告
2008年1月2日 21:44:20 - 21:44:20
计算机名称: XING-PC
扫描类型: 扫描指定目标
目标: C:\Users\Xing\Desktop\Downloads\chzw.rar


--------------------------------------------------------------------------------

结果
没发现恶意软件




--------------------------------------------------------------------------------

统计信息
已扫描:
文件: 2
未扫描: 0
结果:
病毒: 0
间谍软件: 0
可疑对象: 0
危险软件: 0
操作:
已杀毒: 0
已重命名: 0
删除: 0
已隔离: 0
失败: 0
引导区:
已扫描: 0
受感染: 0
可疑对象: 0
已杀毒: 0


--------------------------------------------------------------------------------

选项
病毒定义版本:
病毒: 2008-01-03_01
间谍软件: 2008-01-03_01
扫描引擎:
F-Secure AVP: 7.00.171, 2008-01-03
F-Secure Libra: 2.04.01, 2008-01-02
F-Secure Orion: 1.02.37, 2008-01-03
F-Secure Draco: 1.00.35, 2007-11-28
扫描选项:
扫描指定类型的文件: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ANI AVB BAT CEO CMD LSP MAP MHT MIF PHP POT WMF NWS TAR TGZ SWF ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2 HQX
扫描压缩包内部
操作:
病毒: 扫描后询问
间谍软件: 扫描后询问

--------------------------------------------------------------------------------

版权 © 1998-2007 产品支持 | 发送病毒样本到 F-Secure
对于 F-Secure 网页上所链接的由第三方创建和发布的材料， F-Secure 不承担任何责任。 除非已通过电子邮件或 F-Secure CGI 电子邮件向任一台服务器提交材料以清楚说明情况， 您同意 通过 F-Secure 网页或硬拷贝发布已有的材料。 单击带下划线的链接，可访问 F-Secure 公共网站。此时， 系统会在专用访问统计信息中用域名记录您的访问。 此信息不会提供给任何第三方。 您同意不针对所提交的材料向我们提出诉讼。 除非您已明确说明，否则应提交材料以保证 F-Secure 针对可能在 F-Secure 产品/出版物中采用的概念， 不承担任何责任。

gwg829

PS:

　　　360的文件粉碎屁用都没　鄙视之　　还搞的有模有样　　　

byxxdrls

谢谢chenrui19930通过短信息伸来援助之手。此文件已在ＤＯＳ下改了名，我刚才看了一下，此驱动已被解除了武装。

googlehack

非常典型的pe结构文件。可杀毒软件还是没查出来啊

qigang

Trojan-Downloader.Win32.Hmir.pm