vb下载者 avast pass 2/3

显示全部楼层 · 发表于 2008-1-11 19:25:21

vps ver.080110-0
原文件
www.beautifulcollegeview.com/jizhong04/xia.exe (20KB,avast pass)

尝试下载：
www.beautifulcollegeview.com/jizhong26/xia.exe (40KB，avast Win32:VB-EVX [Trj])
这个40kb的xia.exe尝试下载
http://www.beautifulcollegeview.com/jizhong26/jizhong26.exe (36KB ,avast pass)
然后这个jizhong26就不知道发什么神经后台访问
http://www.beautifulcollegeview.com/jizhong26/cpccpmqian.asp
，上面有两个链接指向
http://www.virusofsystem.com/ [站点信息：The domain virusofsystem.com no longer vaild

]
http://vv40ww [无法访问]

IP Address: 124.133.18.157[/td][/td]
IP Location - Shandong - Shandong - Cnc Group Shandong Province Network
Response Code: 403
Blacklist Status: Clear
Domain Status: Registered And Active Website

果然是国内的杰作..

显示全部楼层 · 发表于 2008-1-11 19:29:51

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Trojan.DL.Win32.VB.yoo

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.26.42

显示全部楼层 · 发表于 2008-1-11 19:29:54

发现未知木马
程序:
C:\DOCUMENTS AND SETTINGS\TIAN\LOCAL SETTINGS\TEMP\RAR$EX01.171\XIA.EXE
木马程序生成以下文件:
1) C:\WINDOWS\FGHTUERNFG56NVD.EXE
是否删除木马程序及其衍生物?
C:\DOCUMENTS AND SETTINGS\TIAN\LOCAL SETTINGS\TEMP\RAR$EX00.906\XIA1.EXE

试图访问远端
C:\DOCUMENTS AND SETTINGS\TIAN\LOCAL SETTINGS\TEMP\RAR$EX00.125\XIA1.EXE
协议类型:TCP
本地地址:0.0.0.0
本地端口:1110
远端地址:124.133.18.157(山东)
远端端口:80

试图访问远端
C:\DOCUMENTS AND SETTINGS\TIAN\LOCAL SETTINGS\TEMP\RAR$EX02.609\JIZHONG26.EXE
协议类型:TCP
本地地址:0.0.0.0
本地端口:1122
远端地址:124.133.18.157(山东)
远端端口:80

[ 本帖最后由 taiw_1144 于 2008-1-11 19:31 编辑 ]

显示全部楼层 · 发表于 2008-1-11 19:31:31

Starting the file scan:

Begin scan in 'E:\xia.rar'
E:\xia.rar
  [0] Archive type: RAR
  --> xia1.exe
   [DETECTION] Contains suspicious code HEUR/Malware
  --> xia.exe
   [DETECTION] Contains suspicious code HEUR/Malware
   [WARNING] The file was ignored!

上报antivir~

显示全部楼层 · 发表于 2008-1-11 19:34:29

EQ结果

显示全部楼层 · 发表于 2008-1-11 19:35:46

呵呵,.再补充几个~~~

显示全部楼层 · 发表于 2008-1-11 19:36:49

这小子加载库文件WSHOM.OCX

显示全部楼层 · 发表于 2008-1-11 22:00:03

kis7
已删除：木马程序 Trojan-Clicker.Win32.VB.yf 文件　: C:\Documents and Settings\hp\桌面\xia.rar/jizhong26.exe
已删除：木马程序 Trojan-Downloader.Win32.VB.cds 文件　: C:\Documents and Settings\hp\桌面\xia.rar/xia1.exe
已删除：木马程序 Trojan-Downloader.Win32.VB.cdu 文件　: C:\Documents and Settings\hp\桌面\xia.rar/xia.exe

显示全部楼层 · 发表于 2008-1-11 22:26:51

C:\Documents and Settings\GUNDAM\桌面\xia.rar » RAR » xia1.exe - a variant of Win32/TrojanDownloader.VB.NKB trojan
C:\Documents and Settings\GUNDAM\桌面\xia.rar » RAR » xia.exe - a variant of Win32/TrojanDownloader.VB.AHQ trojan

显示全部楼层 · 发表于 2008-1-12 08:33:33

Starting the file scan:

Begin scan in 'E:\xia.rar'
E:\xia.rar
  [0] Archive type: RAR
  --> jizhong26.exe
   [DETECTION] Is the Trojan horse TR/Click.VB.YF
  --> xia1.exe
   [DETECTION] Is the Trojan horse TR/Dldr.VB.cds
  --> xia.exe
   [DETECTION] Is the Trojan horse TR/Dldr.VB.cdu
   [INFO]    The file was deleted!

[病毒样本] vb下载者 avast pass 2/3

本帖子中包含更多资源

4/1

本帖子中包含更多资源

本帖子中包含更多资源

回复 4楼 Graybird 的帖子