PcOnline被挂马，发出样本和简单分析 BY dikex

起点

PcOnline被挂马，发出样本和简单分析

http://www.pconline.com.cn/news/hr/weekly099/index.html
这是pconline产业资讯的第99期杂志，今天上的时候卡巴竟然叫了！

QUOTE:
已删除: 木马程序 Trojan-Downloader.VBS.Psyme.dk        文件: C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NQ07VXOX\kehu[1].htm

马是在是这个统计页面（http://softd.ppandora.com/wm.htm）里面的http://wydos.3322.org/kehu.htm




这马喜欢使用服务，在系统里弄了一堆东西-_-~~~~

文件生成：
（1）System32目录下dllhost32.dll、ePower.exe、NetSystem.dll、NetSystem.exe、nsvc.exe、zaIHxW.exe（随机文件名）、KUIvOljK.sys（随机文件名），delname.bat（会自动删除）
（2）C:\Documents and Settings\Administrator\Local Settings\Temp下生成cWLtDkAy（随机文件名）、mdb.exe、zFdXYA.exe（随机文件名）
（3）IE缓存下有bear[1].exe、kehu[1].exe、2[1].exe、down[1].htm、kl[1].exe、klnew[1].exe

隐藏进程：
C:\WINDOWS\system32\NetSystem.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE

添加服务：
DHCPServee (Dhccar) - Unknown owner - C:\WINDOWS\system32\zaIHxW.exe（随机文件名）
klwy.3322.org - Unknown owner - C:\WINDOWS\system32\nsvc.exe
NetSystem －(Not verified)Microsoft Corporation － c:\windows\system32\netsystem.exe

另外有个驱动System SSDP Services/sysdrver － C:\WINDOWS\system32\KUIvOljK.sys（随机文件名）



在system32下面的病毒样本，这个不是广告那么简单了

QUOTE:
AntiVir 7.2.0.46 11.28.2006 BDS/Pakes.F
Authentium 4.93.8 11.29.2006 Possibly a new variant of W32/Threat-IKNP-based!Maximus
Avast 4.7.892.0 11.28.2006 Win32:Qqrob-BK
AVG 386 11.28.2006 Generic2.KPM
BitDefender 7.2 11.29.2006 DeepScan:Generic.Malware.dld!!.B8D9289E
CAT-QuickHeal 8.00 11.28.2006 (Suspicious) - DNAScan
ClamAV devel-20060426 11.29.2006  no virus found
DrWeb 4.33 11.28.2006 DLOADER.Trojan
eSafe 7.0.14.0 11.28.2006 suspicious Trojan/Worm
eTrust-InoculateIT 23.73.71 11.29.2006 Win32/QQRob.3vi!DLL!Trojan
eTrust-Vet 30.3.3221 11.29.2006 Win32/Endnum.A
Ewido 4.0 11.28.2006 Trojan.QQRob.gi
Fortinet 2.82.0.0 11.29.2006 PossibleThreat!015892
F-Prot 3.16f 11.28.2006 Possibly a new variant of W32/Downloader-Sml-based!Maximus
F-Prot4 4.2.1.29 11.28.2006 W32/Downloader-Sml-based!Maximus
Ikarus 0.2.65.0 11.28.2006 Backdoor.Win32.PcClient.GV
Kaspersky 4.0.2.24 11.29.2006 Trojan-PSW.Win32.Agent.hj
McAfee 4906 11.28.2006 New RootKit
Microsoft 1.1804 11.28.2006  no virus found
NOD32v2 1888 11.28.2006 probably unknown NewHeur_PE virus
Norman 5.80.02 11.28.2006 W32/Malware
Panda 9.0.0.4 11.28.2006 Trj/Radoppan.B
Prevx1 V2 11.29.2006  no virus found
Sophos 4.11.0 11.16.2006 Mal/Packer
TheHacker 6.0.3.126 11.29.2006  no virus found
UNA 1.83 11.28.2006  no virus found
VBA32 3.11.1 11.28.2006 Trojan.NtRootKit.172
VirusBuster 4.3.15:9 11.28.2006 Trojan.Pangu.Gen.1



[ 本帖最后由 navigateqd 于 2006-12-3 21:26 编辑 ]

Oceanzd

现在大网站的马还真多，不知道怎么上了

怀疑哪天卡饭挂上马了 希望不要如此

a99645629

PcOnline都给挂了，那我不装杀毒怎么办？

fsmylc

俺进去没有任何反映啊。。。。也没发现这些