红伞誓死不报？

显示全部楼层 · 发表于 2008-3-20 01:16:56

话说鄙人的移动硬盘借别人用了后，发现了上千病毒，基本都是被感染的网页和可执行文件。杀完毒后，在某盘根目录下发现了个pagefile.exe的无图标文件。这名字一看就知道不是好东西，但小红伞却扫描说没有病毒。传到多引擎扫描网站结果大部分杀毒软件都报毒了～

看来这个东东确实不正经，红伞怎么会发现一堆网页却扫不出来这个东东呢？上报数周也没个是否有毒的回复，今天从隔离区提取出来扫描了下，还是没病毒！！

再次传到多引擎扫描，结果上面的AnitiVir发现病毒了，但我机器上刚更新了病毒库的红伞p版高启发依然扫描不到。深感诡异，发上来样本希望有高人分析下～

ps，个人怀疑是Xorer。一是大部分杀毒软件扫描出来的结果都是这个名字，二是发现这个东西时红伞扫描出来的那一堆被感染网页也是这个名字。

显示全部楼层 · 发表于 2008-3-20 01:20:40

被ESET新加入的特征码给干了
pagefile.exe - Win32/Agent.NRS trojan

[ 本帖最后由 EQ2 于 2008-3-20 01:23 编辑 ]

显示全部楼层 · 发表于 2008-3-20 01:21:04

configuration-expert mode-general-extended threat categories

是不是跟这个有关

另外，有可能你运行它才会报

红伞启发式应该是可以报的

[ 本帖最后由伞兵づ泡泡于 2008-3-20 01:27 编辑 ]

显示全部楼层 · 发表于 2008-3-20 01:26:44

这东西绝对不是xorer，这个问题我会单独和分析师练习的，等着明天升级吧

显示全部楼层 · 发表于 2008-3-20 01:27:09

不过说实在我是没分析出什么可疑行为

显示全部楼层 · 发表于 2008-3-20 01:29:04

3781990 pagefile.exe 8 KB DAMAGED FILE (MALWARE)
难怪，文件已经损坏了，所以执行之后也没动作，不过我还是上报一下，当清理垃圾了

显示全部楼层 · 发表于 2008-3-20 01:37:58

开EQ运行了下，没任何报警，直接给我打开C盘，可以删除。这是Xorer?

显示全部楼层 · 发表于 2008-3-20 01:54:56

都说坏了么，就看nod32在那里胡乱鞭尸

显示全部楼层 · 发表于 2008-3-20 03:04:12

原来是尸体

显示全部楼层 · 发表于 2008-3-20 08:39:26

鞭尸启发有待加强

回复 7楼 stonejr 的帖子