不知这个是什么病毒！有哪位大侠能分析一下？

weisili

不知道这个是什么病毒。好像会生成netservice.exe程序，并且生成1.hiv文件。哪位大大能帮我分析一下这个病毒的行为啊。当然还有彻底解决的办法。希望不要留僵尸啊。。。谢谢啊！

aerbeisi

[Found security risk]         <W32/Agent.AD.gen!Eldorado (not disinfectable, generic)>        C:\test\yb.rar->注册认证.exe

Starting the file scan:

Begin scan in 'E:\AV\yb.rar'
E:\AV\yb.rar
  [0] Archive type: RAR
    --> ￗﾢﾲ￡￈ￏￖﾤ.exe
      [1] Archive type: RSRC
      --> Object
          [DETECTION] Contains a detection pattern of the (dangerous) backdoor program BDS/Hupigon.Gen Backdoor server programs
      [NOTE]      The file was deleted!

weisili

哇。速度好快啊。。。各位知不知道这个病毒的详细情况？会生成什么文件。注册表会怎么被修改？我应该怎么彻底的搞定它？

扫描进行于：2008-4-25 17:26:31
扫描日志
NOD32版本 3053 (20080424) NT
命令行： F:\virus\注册认证.exe

日期： 25.4.2008  时间：17:26:33
已开启反隐藏功能.
已扫描的磁盘，文件夹及文件：F:\virus\注册认证.exe
F:\virus\注册认证.exe - 未查明的 NewHeur_PE 病毒 [7]
已扫描的文件数目：1
已发现的病毒数目：1
完成时间： 17:26:33 总扫描时间：0 秒 (00:00:00)

注意：
[7] 该文件可能感染上未知病毒。

沙盘里没见其他的生成物

zwl2828

Deleted: Backdoor.Win32.Ceckno.aey        C:\Users\Wesley\Downloads\yb.rar/注册认证.exe       

    该病毒是一个使用Delphi语言编写的后门程序，长度462,848字节，图标为WINDOWS默认图标，病毒扩展名为exe，主要通过传播途径主要为网页挂马，文件捆绑，黑客攻击。       

病毒分析   

    该样本程序被激活后，将在%systemroot%\system32下生成sysn.dll文件，在C:\Documents and Settings\All Users\Favorites下生成netservice.exe病毒主体文件，以及在Favorites下的plungin目录中生成001.dll文件；接着修改HKLM下的winlogon相关注册表项，使得病毒程序能在系统启动时运行；之后病毒将利用SCM（服务管理器）在注册表中新建一个利用svchost启动名为netrt，描述为“远程管理软件描述信息”，显示名为“Remote network Service”的服务；接着病毒开启一个进程运行netservice.exe程序并利用命令行将自己删除；

netservice.exe运行后将开启netrt服务；服务启动后，将与外界黑客进行连接，接受黑客控制，使得黑客可以获取用户计算机上的所有资料，复制或删除任何的文件，或利用用户的计算机资源做其它的破坏性活动；

技术细节

病毒添加的注册表项：
项：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
键值：userinit
指向文件：C:\WINDOWS\system32\userinit.exe,
"C:\Documents and Settings\All Users\Favorites\netservice.exe"un userinit.exe{0x00}

项：HKLM\SYSTEM\CurrentControlSet\Services\netrt
键值：ImagePath
指向文件：C:\WINDOWS\system32\svchost.exe -k network

项：HKLM\SYSTEM\CurrentControlSet\Services\netrt\Parameters
键值：ServiceDll
指向文件：%systemroot%\system32\sysn.dll

醉一生爱妍

Backdoor/Ceckno.kq

weisili

谢谢6楼。但是这个东东好像是在windows文件夹下生成netservice.exe的说。。。收藏夹下没有啊。。。

zwl2828

原帖由 weisili 于 2008-4-25 19:49 发表
谢谢6楼。但是这个东东好像是在windows文件夹下生成netservice.exe的说。。。收藏夹下没有啊。。。

....也许是病毒不想去那边吧...
对了， 你的用户名就是我的英文名哦

saber123

ACCESS DENIEDThe requested URL could not be retrievedWhile trying to retrieve the URL: http://bbs.kafan.cn/attachment.php?aid=249572
The folowing error was encountered:

• The requested object is INFECTED. The following viruses Backdoor.Win32.Ceckno.aey were found

Please contact your service provider if you feel this is incorrect.

Generated Fri Apr 25 19:54:30 2008 by Kaspersky Anti-Virus 7.0