3PCS

brodbus

三个文件是一个程序，只是做了不同的免杀
分析1.exe为例

恶意代码5f950317248


1.加壳
2.释放C:\WINDOWS\system32\msoscqit00.dll
3.删除C:\WINDOWS\system32\msoscqit01.dll
到
C:\WINDOWS\system32\msoscqit15.dll（知道自己以前作孽深重了吧）
4.全系统注入msoscqit00.dll（这小子够毒）
5.并将msoscqit00.dll添加到AppInit_Dlls（很贪心哦）
6.释放C:\WINDOWS\system32\msoscqit.dat
C:\WINDOWS\system32\drivers\msosfpids32.sys
7.创建服务
8.结束自己，够毒啊
9.补充，该病毒在第2次启动时就可以成功的调用这个驱动进行操作了

duanyanbin

恩。。bitdefender查不出来

sam.to

有什么不正確

qigang

瑞星病毒查杀结果报告

清除病毒种类列表：

病毒： RootKit.Win32.Mnless.km  
病毒： Trojan.PSW.Win32.GameOL.mri
病毒： Trojan.PSW.Win32.GameOL.mpv
病毒： Trojan.PSW.Win32.GameOL.mpx

MAC 地址：00:11:5B:F3:6D:69

用户来源：互联网

软件版本：20.37.22

hahacomcn

Begin scan in 'C:\Documents and Settings\haha\桌面\3.rar'
C:\Documents and Settings\haha\桌面\3.rar
  [0] Archive type: RAR
  --> 3.exe
      [DETECTION] Is the Trojan horse TR/PSW.12986
  --> 1.exe
      [DETECTION] Is the Trojan horse TR/PSW.OnlineGames.vxf
  --> 2.exe
      [DETECTION] Is the Trojan horse TR/PSW.15225
      [INFO]      A backup was created as '485c544a.qua'  ( QUARANTINE )

自由

原帖由 kato9096 于 2008-3-26 20:06 发表
有什么不正確

Autorun.rar > RAR > Autorun.inf - 正常
Autorun.rar > RAR > delautorun.bat - 正常
Autorun.rar > RAR > delautorun.ini - 正常
Autorun.rar:Zone.Identifier - 正常
看清楚6楼的档案名及文件名跟7楼对比一下。不要说还没看出来
3(3).rar>>3.exe        RootKit.Mnless.km.tshb        木马        还未处理
3(3).rar>>1.exe        TrojanPSW.OnLineGames.vww.xyge        木马        还未处理
3(3).rar>>2.exe        Heuri.Suspicious.ERNM        启发式扫描        还未处理

leonfg

C:\Documents and Settings\GUNDAM\桌面\3.rar » RAR » 3.exe - probably a variant of Win32/PSW.OnLineGames.NMQ trojan
C:\Documents and Settings\GUNDAM\桌面\3.rar » RAR » 1.exe - probably a variant of Win32/PSW.OnLineGames.NMQ trojan
C:\Documents and Settings\GUNDAM\桌面\3.rar » RAR » 2.exe - probably a variant of Win32/PSW.OnLineGames.NMQ trojan