红伞警报使flashget2.0不能安装、1.9版本升级程序被报木马

451102995

RT：我红伞是P版...引擎版本：V8.01.00.46 病毒库版本：V7.00.04.69  最高启发+勾选拓展所有威胁
        官方最新flashget2.0安装包一运行...红伞马上警报...打开红伞后看到警报内容提示，是安装文件所释放出的临时文件被红伞警报并杀除....随后安装程序一点反应也没有！看来是安装程序所释放出的临时文件被红伞杀了！导致安装没法进行！
        官方下载的flashget1.9版安装后，进行下载红伞警报其FGupdate目录里的升级程序为木马...虽然没有影响文件的下载操作...但每次使用1.9版下载东西，红伞都要警报那个升级程序一次很烦.........
由于本人不善于上报...请那位朋友帮忙上报一下，解决解决~~谢谢！！
PS:不要问我要样本...因为这2个安装包都在官方网站下载~~你们可以随时去下载试验！！

[ 本帖最后由 451102995 于 2008-5-21 04:29 编辑 ]

mofunzone

建议不要使用中文的快车
2.0和1.9.6都会报一个文件
2.0的tmp.exe文件运行后生成svc.exe，文件属性居然为隐藏，文件大小为88kb
而1.9.6的update文件同样为88kb
经过md5验证两个文件md5不相同，应该是flashget试图给这个文件进行免杀的后果
但是运行后都干了同样的事情，在系统盘system32写入4个dll（干嘛写这里，你写到flashget文件夹就算了，居然送到system32来了）
svc.exe写入
->dmserver.dll ms的东西
->dmserveresl.dll ms的东西
->mssockzz.dll 不知道是什么
->mssvch.dll 也不知道是什么，个人估计是假装msswch.dll的，而且同样被antivir查杀
update.exe写入的东西也是相同的
而且请注意的就是在flashget安装过程中是强制性安装的，只要你双击了安装客户端，不管你是不是在下一步就取消了安装，这4个文件已经被写入system32文件夹，而且就算卸载flashget后这4个文件也不会被删除
同时我对比了一下英文的快车，虽然是1.9.6的英文版，但是就完全没有中文版在system32强制写入dll的这个行为
最后我的结论就是，我不希望antivir移除对这几个文件的误报，相反我会联系分析师分析剩余几个强制在system32文件夹写入的文件看是不是病毒
于情于理， 一个下载软件都不应该这么做，即使是被人骂的迅雷也没有在双击后就开始强制安装文件。。

[ 本帖最后由 mofunzone 于 2008-5-20 13:50 编辑 ]

mofunzone

如果一定要使用快车
http://www.mediafire.com/?b0z2tyvrjx2
下载这个，我把那个有病毒嫌疑的文件移走了，安装程序一样可以正常安装，唯一的区别就是不会在system32写入那几个dll
不过安装过程中还是有很多广告，请小心
至于那个病毒的文件，我会上报给其他的反病毒厂商看的

mofunzone

我已经把那两个文件发给卡巴斯基实验室，看他们的回复，而且等一下会去flashget论坛询问这个事情
最搞笑的是英文版的flashget没有这个文件，而中文的全部都有这个文件。。

451102995

好的~~谢谢你的解释和努力~~我在红伞发出警报后已经把flashget卸载了~并使用优化大师清理了一下~~现在看你这样一说~果然那几个dll.......都还在...没清理到！！
我会继续关注这事情~~相比迅雷~~我更不愿意放弃flashget....我总觉得它比迅雷要干净~~现在看来中文版还有这猫腻...看来是时候换下载工具咯！

[ 本帖最后由 451102995 于 2008-5-21 07:58 编辑 ]

stonejr

难道快车也要做流氓？晕死，一直都觉得它比迅雷干净好用，希望是误会。

飞翔的小小罗

唉，快车和迅雷都不干净的。。。。。。

gjno1

为什么我装的正常？红伞没有报

barbara

快车干净?呵呵  这是个笑话

spaceplane

flashget疯了么？