網易新聞的一個廣告頁面的病毒样本

1993yixin

毒我抓来了

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： Trojan.Win32.Edog.v      

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.31.30

hshhua01

Begin scan in 'D:\Movie\TIMPlatform.rar'
D:\Movie\TIMPlatform.rar
  [0] Archive type: RAR
  --> TIMPlatform.exe
      [DETECTION] Is the Trojan horse TR/Drop.Agent.21504
      [INFO]      The file was deleted!

woai_jolin

Scan Log
Version of virus signature database: 2878 (20080215)
Date: 2008/2/15  Time: 21:59:24
Scanned disks, folders and files: G:\v\TIMPlatform.rar
G:\v\TIMPlatform.rar » RAR » TIMPlatform.exe - Win32/TrojanDownloader.Agent.NVI trojan - was a part of the deleted object
Number of scanned objects: 2
Number of threats found: 1
Time of completion: 21:59:24  Total scanning time: 0 sec (00:00:00)

wangjay1980

KL收

iexplore.exe    %s\%d.exe   %d  DELAY   %s\updatax.exe  UPDATA  MAIN    VERSION GET URL \BOLE.INI   \WIN.INI    "%s"%s  :\Program Files\Internet Explorer\iexplore.exe  cmd.exe /c ren "%s" "%s"    tmp%d.temp  KvTrust.dll UrlGuard.dll    antispy.dll safemon.dll ieprot.dll  http://test.591jx.com/test.exe  c:\Update.exe   test.591jx.com  Request timed out.  Ping request could not find host    cmd.exe /c ping "%s" > c:\net.txt   c:\net.txt


Hello,

TIMPlatform.exek - Trojan.Win32.Tiny.s

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Vladimir Krylov
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.



> Attachment: TIMPlatform.rar


[ 本帖最后由 wangjay1980 于 2008-2-15 23:32 编辑 ]

tanlimo

那个广告页面？地址是？

1993yixin

原帖由 tanlimo 于 2008-2-15 22:07 发表
那个广告页面？地址是？

hxxp://americamount.com.cn/

tanlimo

地址好像有点小变化，但内容还是一样的，失望、我还以为更新了

现在
Log is generated by FreShow.
[wide]http://americamount.com.cn/
    [frame]http://www.t-tou.cn/klyb.html
        [frame]http://xxx.hao1680.com/tong.htm?001
            [script]http://xxx.hao1680.com/wm/rl.js
                [object]http://iii.chsip.net/cat.exe
            [frame]http://xxx.hao1680.com/wm/jh.htm
                [frame]http://xxx.hao1680.com/wm/*
                [script]http://ppp.chsip.net/wm/11.js
                    [object]http://iii.chsip.net/down.exe
                [script]http://ppp.chsip.net/wm/bb.js
                    [object]http://iii.chsip.net/down.exe
                [script]http://ppp.chsip.net/wm/ppp.js
                    [object]http://iii.chsip.net/down.exe
                [script]http://ppp.chsip.net/wm/lz.js
                    [object]http://qqq.521town.com/down.exe
    [script]http://americamount.com.cn/Scripts/AC_RunActiveContent.js
        [frame]http://www.t-tou.cn/bbs.html
            [frame]http://xxx.hao1680.com/tong.htm?001
                [script]http://xxx.hao1680.com/wm/rl.js
                [frame]http://xxx.hao1680.com/wm/jh.htm


过去：

[script]http://xxx.hao1680.com/wm/rl.js
                    [object]http://qqq.521town.com/down.exe
                [frame]http://xxx.hao1680.com/wm/jh.htm
                    [script]http://ppp.chsip.net/wm/11.js
                        [object]http://qqq.aishengho.com/down.exe
                    [script]http://ppp.chsip.net/wm/bb.js
                        [object]http://qqq.521town.com/down.exe
                    [script]http://ppp.chsip.net/wm/ppp.js
                        [object]http://qqq.521town.com/down.exe
                    [script]http://ppp.chsip.net/wm/lz.js
                        [object]http://qqq.521town.com/down.exe


1e466b9c0200e3f8022e21fe70e756d3   cat.exe
1e466b9c0200e3f8022e21fe70e756d3   down.exe

[ 本帖最后由 tanlimo 于 2008-2-15 23:11 编辑 ]

1993yixin

原帖由 tanlimo 于 2008-2-15 23:01 发表
地址好像有点小变化，但内容还是一样的，失望、我还以为更新了

现在
Log is generated by FreShow.
[wide]http://americamount.com.cn/
    [frame]http://www.t-tou.cn/klyb.html
        [frame]htt ...

我漏掉了好多啊啊啊

tanlimo

其实就是一个文件