AV+盗号木马和下载者 explorer.exe+wuauc1t.exe，最新费尔查不出

5551551

      网友发了一只据说是很历害的病毒来，升级到最新版本的费尔查不出来有毒。马上测试。运行之后，病毒在各盘下生成 Autorun.inf+explorer.exe 隐藏文件。同时插入一个 wuauc1t.exe 到system32目录下，注意，这个wuauc1t.exe中间是个数字“1”而正常的系统文件中间是个字母“l”。同时劫持部分杀毒软件指向病毒“c:\windows\system32\wuauc1t.exe”，基本上清除起来没有什么难度。
      病毒激活后会联接到互联网下载病毒和木马。

[ 本帖最后由 5551551 于 2008-3-26 15:36 编辑 ]

深红的雪

Starting the file scan:
  explorer.exe
      [DETECTION] Is the Trojan horse TR/Crypt.CFI.Gen

生成物还有一个sssurl.dll

a750828

McAfee New Malware.u

aerbeisi

[Found backdoor]         <W32/Ciadoor.A.gen!Eldorado (not disinfectable, generic)>        C:\explorer.rar->explorer.exe

gaojun7206

Virus: GenPack:Generic.Malware.PdldPkg.C0EE7EB1 (Engine B)

傻猪猪米走鸡

D:\firefox download\explorer.rar > RAR > explorer.exe - 可能是 Win32/Genetik 特洛伊木马 的变种 - 是已删除对象的一部分
D:\firefox download\explorer.rar - 可能是 Win32/Genetik 特洛伊木马 的变种 - 已删除 - 已隔离

sanhu35

Begin scan in 'C:\Documents and Settings\sanhu35\桌面\explorer.rar'
C:\Documents and Settings\sanhu35\桌面\explorer.rar
  [0] Archive type: RAR
  --> explorer.exe
      [DETECTION] Is the Trojan horse TR/Crypt.CFI.Gen
      [NOTE]      A backup was created as '485a029e.qua'  ( QUARANTINE )
      [NOTE]      The file was deleted!


End of the scan: 2008年3月26日星期三  15:58
Used time: 00:05 min

The scan has been done completely.

      0 Scanning directories
      2 Files were scanned
      1 viruses and/or unwanted programs were found
      0 Files were classified as suspicious:
      1 files were deleted
      0 files were repaired
      1 files were moved to quarantine
      0 files were renamed
      0 Files cannot be scanned
      1 Files not concerned
      1 Archives were scanned
      0 Warnings
      1 Notes

Joker

卡巴扫描了。。。N久
detected: virus Heur.AntiAV (modification)        File: C:\Documents and Settings\Administrator\×&Agrave;&Atilde;&aelig;\explorer.rar/explorer.exe

brodbus

恶意代码076e6522863


1.加变态壳
2.将系统的正常的C:\WINDOWS\system32\urlmon.dll改为C:\WINDOWS\system32\sssurl.dll
3.释放病毒到C:\WINDOWS\system32\urlmon.dll（狸猫换太子）
4.C:\WINDOWS\system32\packet.dll
C:\WINDOWS\system32\pthreadVC.dll
C:\WINDOWS\system32\wpcap.dll
C:\WINDOWS\system32\drivers\npf.sys
C:\WINDOWS\system32\npptools.dll
C:\WINDOWS\system32\drivers\acpidisk.sys
C:\Documents and Settings\All Users\「开始」菜单\程序\启动
改权限
5.复制自身到
C:\WINDOWS\system32\wuauc1t.exe
6.每个盘符下更新AUTORUN.INF
复制自身作为explorer.exe启动
7.远线程修改不显示隐藏文件，破坏安全模式，劫持一些常见的杀毒软件，包括QQ医生
8.隔一段时间重复动作6

残缺的唯美

2008-3-26        17:50:50        未采取操作         EKINCHENG        D:\Documents and Settings\EKINCHENG\桌面\explorer.rar\EXPLORER.EXE        New Malware.u(特洛伊)