【小企鹅病毒】

ranguangning

一个伪QQ病毒 红伞不报 于是测试










win.ini内容：
; for 16-bit app support
[fonts]
[extensions]
[mci extensions]
[files]
[Mail]
MAPI=1
[MCI Extensions.BAK]
aif=MPEGVideo
aifc=MPEGVideo
aiff=MPEGVideo
asf=MPEGVideo
asx=MPEGVideo
au=MPEGVideo
m1v=MPEGVideo
m3u=MPEGVideo
mp2=MPEGVideo
mp2v=MPEGVideo
mp3=MPEGVideo
mpa=MPEGVideo
mpe=MPEGVideo
mpeg=MPEGVideo
mpg=MPEGVideo
mpv2=MPEGVideo
snd=MPEGVideo
wax=MPEGVideo
wm=MPEGVideo
wma=MPEGVideo
wmv=MPEGVideo
wmx=MPEGVideo
wpl=MPEGVideo
wvx=MPEGVideo
[SciCalc]
layout=0
UseSep=1

system.ini内容：
; for 16-bit app support
[386Enh]
woafont=app936.fon
EGA80WOA.FON=EGA80WOA.FON
EGA40WOA.FON=EGA40WOA.FON
CGA80WOA.FON=CGA80WOA.FON
CGA40WOA.FON=CGA40WOA.FON
[drivers]
wave=mmdrv.dll
timer=timer.drv
[mci]
[driver32]
[windows]
shell=explorer.exe & F:\WINDOWS\system32\
load=F:\WINDOWS\system32\QQ.exe

qq.ini内容：
[message]
message=欢迎浏览我的主页:www.baidu.com
[url]
url=http://pcfun.cn/lb/qqgame.asp

运行生成的taskmgr.exe:






【生成物众多，包括驱动，这里就不一一测试了，打个包，有兴趣的看看】【经测试可执行文件都是一样的动作 】



运行生成物QQ.EXE后：（重复动作）







Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.5.0.18        2008.05.11        2008-05-11  3.86   -
安博士V3       2008.05.09.00   2008.05.09        2008-05-09  1.37   -
AntiVir        7.8.0.17        7.0.4.25          2008-05-11  2.66   -
Arcavir        1.0.4           200805111324      2008-05-11  1.93   -
AVAST          1.0.8           080511-0          2008-05-11  4.76   -
AVG            7.5.51.442      269.23.16/1427    2008-05-11  5.27   -
BitDefender    7.60825.1191286 7.18951           2008-05-12  7.97   -
CA (VET)       9.0.0.143       31.4.5780         2008-05-11  9.37   -
ClamAV         0.93            7093              2008-05-12  0.00   -
Comodo         2.11            2.0.0.521         2008-05-11  1.01   -
CP Secure      1.1.0.715       2008.05.12        2008-05-12  10.87  -
Dr.WEB         4.44.0.9170     2008.05.11        2008-05-11  10.05  -
ewido          4.0.0.2         2008.05.11        2008-05-11  2.95   -
F-PROT         4.4.1.52        20080511          2008-05-11  3.50   -
F-SECURE       5.51.6100       2008.05.11.02     2008-05-11  0.05   -
飞塔           2.81-3.11       9.65              2008-05-12  2.45   -
ViRobot        20080510        2008.05.10        2008-05-10  0.80   -
IKARUS         T3.1.01.26      2008.05.11.70735  2008-05-11  4.98   -
江民杀毒       10.00.650       2008.05.11        2008-05-11  2.05   -
卡巴斯基       5.5.10          2008.05.12        2008-05-12  17.62  -
金山毒霸       2007.6.20.249   2008.5.7          2008-05-07  1.06   -
迈克菲         5.2.00          5292              2008-05-09  4.03   -
Microsoft      1.3408          2008.05.12        2008-05-12  7.67   -
MKS_VIR        2.01            2008.05.10        2008-05-10  5.00   -
NORMAN         5.92.06         5.92.00           2008-05-0900:14:517.11   -
熊猫卫士       9.04.03.0001    2008.05.11        2008-05-11  2.96   -
趋势           8.500-1001      5.270.31          2008-05-11  0.04   -
Prevx          V2              20080512          2008-05-12  5.66   -
QuickHeal      9.00            2008.05.10        2008-05-10  2.87   -
瑞星           20.0            20.43.62.00       2008-05-11  0.70   -
SOPHOS         2.73.0          4.29              2008-05-12  6.11   -
赛门铁克       1.3.0.24        20080511.007      2008-05-11  0.20   -
nProtect       2008-05-02.00   1441206           2008-05-02  6.01   -
The Hacker     6.2.92          v00307            2008-05-10  1.32   -
VBA32          3.12.6.5        20080511.2010     2008-05-11  1.22   -
VirusBuster    4.3.19:9        9.127.14/11.0     2008-05-11  1.13   -
【【【那个驱动扫描的结果，看来这个所谓的“病毒”还真是。。。】】】



[ 本帖最后由 ranguangning 于 2008-5-12 12:33 编辑 ]

1043940  COMMAND.COM  49.7 KB  KNOWN CLEAN
510856  DOSX.EXE  52.59 KB  KNOWN CLEAN
233779  HIMEM.SYS  4.66 KB  KNOWN CLEAN
233777  KB16.COM  14.37 KB  KNOWN CLEAN
75012  MSCDEXNT.EXE  817 Byte  KNOWN CLEAN
90428  REDIR.EXE  3.26 KB  KNOWN CLEAN

Palkia

kv 0

yk1234

红伞不报

挪威的冬天

金山毒霸 0

冷冷

最后那些文件都是干净的
是系统里面的东西
因为给调用的 所以就出现在沙盘里
是YY告诉我的

qigang

RS20.44.02未杀！

傻猪猪米走鸡

D:\firefox download\原版病毒.rar > RAR > QQ.exe - 未查明的 NewHeur_PE 病毒 - 是已删除对象的一部分
D:\firefox download\原版病毒.rar > RAR > QQ.ini - 正常

sam.to

卡巴:
已偵測: 特洛伊木馬程式 Trojan-PSW.Win32.QQPass.ayt        檔案: C:\Documents and Settings\kato9096\桌面\原版病毒\QQ.exe//ASPack


包內的ini

[message]
message=辣茩銡擬扂腔翋珜:www.baidu.com

[url]
url=http://pcfun.cn/lb/qqgame.asp

[ 本帖最后由 kato9096 于 2008-5-12 21:43 编辑 ]

sam.to

LZ有沒有上报紅傘?