1

sam.to

上报卡巴

http://www.threatexpert.com/repo ... b733790db48555a79e9

Hello,

0.exe_

No malicious code was found in this file.

autorun.inf, OSO.exe_ - Worm.Win32.AutoRun.dix

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

Please quote all when answering.

--
Best regards, Evgeny Aseev
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/

http://www.kaspersky.com/virusscanner - free online virus scanner.
http://www.kaspersky.com/helpdesk.html - technical support.

[ 本帖最后由 kato9096 于 2008-4-14 21:04 编辑 ]

Starting the file scan:

Begin scan in 'E:\新建文件夹 (2)\OSO.rar'
E:\新建文件夹 (2)\OSO.rar
  [0] Archive type: RAR
  --> OSO.exe4
      [DETECTION] Contains detection pattern of the Ad- or Spyware ADSPY/Bho.74320
      [INFO]      The file was deleted!

啊弥陀佛

微点砍掉

aerbeisi

[Found possible security risk]         <W32/Heuristic-114!Eldorado (not disinfectable)>        C:\test\OSO.rar->OSO.exe4->(UPX)

gaojun7206

C:\Documents and Settings\Jean\桌面\HERO\Test\OSO.rar>>autorun.inf        INF.Autorun.d        病毒        还未处理
C:\Documents and Settings\Jean\Local Settings\Temp\TWIEXC\OSO.exe4        Suspicious.Trojan.Downldr.a.vfcr        木马        还未处理

ranguangning

【1】autorun.inf文件内容：
[AutoRun]
open=OSO.exe
shell\open=打开(&O)
shell\open\Command=OSO.exe
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=OSO.exe


【2】父级进程：
   路径： F:\Users\ranguangning终极管理员帐户\Desktop\OSO.exe
   PID: 4216
子级进程：
   路径： F:\Sandbox\ranguangning终极管理员帐户\DefaultBox\user\current\AppData\Local\Temp\1.tmp
   命令行：F:\Users\RANGUA~2\AppData\Local\Temp\1.tmp


【3】父级进程：
   路径： F:\Sandbox\ranguangning终极管理员帐户\DefaultBox\user\current\AppData\Local\Temp\1.tmp
   PID: 4504
子级进程：
   路径： F:\Windows\System32\regsvr32.exe
   信息： Microsoft(C) Register Server (Microsoft Corporation)
   命令行：regsvr32 F:\Windows\system32\WebProtect.dll /s



【4】进程：
   路径： F:\Sandbox\ranguangning终极管理员帐户\DefaultBox\user\current\AppData\Local\Temp\1.tmp
   PID: 4504
对象：
   路径： F:\Windows\System32\regsvr32.exe
   信息： Microsoft(C) Register Server (Microsoft Corporation)

冷冷

├─D
│  └─WINDOWS
│      ├─debug
│      │      svchost.exe
│      │      
│      └─system32
│              WebProtect.dll
│              
└─I
    └─Temp
            1.tmp
            121221221.tmp

auto

   路径： I:\virus\样本区\OSO\OSO.exe
                                   ↓
   命令行："D:\WINDOWS\Explorer.exe" I:\
                                   ↓
   路径： I:\VS\VIRUS\drive\I\Temp\1.tmp
                                   ↓
   路径： D:\WINDOWS\system32\regsvr32.exe
   命令行：regsvr32 D:\WINDOWS\system32\WebProtect.dll /s
                                   ↓
   路径： D:\WINDOWS\system32\regsvr32.exe
   命令行：D:/WINDOWS/debug/svchost.exe

sam.to

可以打包上來????

ranguangning

├─D
│  └─WINDOWS
│      ├─debug
│      │      svchost.exe
│      │      
│      └─system32
│              WebProtect.dll
│              
└─I
    └─Temp
            1.tmp
            121221221.tmp


【【【【【sandboxie一样一共4个生成物】】】】】

sam.to

http://www.threatexpert.com/repo ... b733790db48555a79e9