刚捉的样本，动作真多

小邪邪

样本来自下面这个贴子里的剧毒网站，比较变态的毒网(ftfashion.com)
http://bbs.kafan.cn/viewthread.php?tid=263954&extra=page%3D1

这次MCAFEE8.5i倒是发挥出了应有的HIPS级保护水准：

已由访问保护规则禁止C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ko.exe
C:\mahtesf3.bat
防病毒标准保护:禁止远程创建/修改可执行文件和配置文件
已阻止的操作: 创建

已由访问保护规则禁止C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ko.exe
C:\WINDOWS\nwhy.exe
通用最大保护:禁止在 Windows 文件夹中创建新的可执行文件
已阻止的操作: 创建

已由访问保护规则禁止C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ko.exe
C:\WINDOWS\system32\SHELL32.DLL
用户定义的规则:AD 全面禁止未知程序私自执行
已阻止的操作: 执行

已由访问保护规则禁止C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ko.exe
C:\WINDOWS\igqv.exe
通用最大保护:禁止在 Windows 文件夹中创建新的可执行文件
已阻止的操作: 创建

已由访问保护规则禁止C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\ko.exe
C:\WINDOWS\system32\drivers\ntdapi.sys
防病毒标准保护:禁止远程创建/修改可执行文件和配置文件
已阻止的操作: 创建


这个东西动作还不少，试图在C盘根目录创建个批处理，试图释放exe到WINDOWS

试图调用许多的系统内核文件（日志太多此处略）

还试图释放个驱动......（可恶）

sbbdms

卡巴

已删除：木马程序 Trojan-Downloader.Win32.Agent.rjq        文件　: E:\ko.rar/ko.exe//PE_Patch//UPack//#

nealee

KIS 8.0.0.357 。。

小邪邪

俺一进去那个网就自动下载这病毒并且自动执行了起来，而且还给它启动成功了
MCAFEE目前不能识别这个，但能够拦截它的一切动作，并且暴露出它的意图和位置

然后俺再手动删除之.......

欠妳緈諨

D:\病毒测试\临时解压\ko.rar:\ko.exe - 特征码 'Trojan.Crypt.DJ' 被发现
D:\病毒测试\临时解压\ko.rar

        2 文件被扫描
          (1 压缩档 1 文件)
        1 特征码被侦测
        0 可疑代码段被发现
        耗时: 0:00.221

er18

scottxzt

Begin scan in 'C:\Documents and Settings\Administrator\桌面\ko.rar'
C:\Documents and Settings\Administrator\桌面\ko.rar
      [NOTE]      The file was successfully wiped!
      [NOTE]      The file was deleted!

ssy275

2008-6-6 8:58:11        Detected: Trojan-Downloader.Win32.Agent.rjq        D:\ko.rar/ko.exe/PE_Patch/UPack/#

HC303

When accessing data from the URL, "http://bbs.kafan.cn/attachment.php?aid=279576&k=64f8655f205bf3fd9a4d6be70c152309&t=1212714261"
a virus or unwanted program 'TR/Downloader.Gen' [trojan] was found.
Action taken: Blocked file

电影结束了

c0=http://down.link5566.cn/1.exe
c1=http://down.link5566.cn/2.exe
c2=http://down.link5566.cn/3.exe
c3=http://down.link5566.cn/4.exe
c4=http://down.link5566.cn/5.exe
c5=http://down.link5566.cn/6.exe
c6=http://down.link5566.cn/7.exe
c7=http://down.link5566.cn/8.exe
c8=http://down.link5566.cn/9.exe
c9=http://down.link5566.cn/10.exe
c10=http://down.link5566.cn/11.exe
c11=http://down.link5566.cn/12.exe
c12=http://down.link5566.cn/13.exe
c13=http://down.link5566.cn/14.exe
c14=http://down.link5566.cn/15.exe
c15=http://down.link5566.cn/16.exe
c16=http://down.link5566.cn/17.exe
c17=http://down.link5566.cn/18.exe
c18=http://down.link5566.cn/19.exe
c19=http://down.link5566.cn/20.exe
c20=http://down.link5566.cn/21.exe
c21=http://down.link5566.cn/22.exe
c22=http://down.link5566.cn/23.exe
c23=http://down.link5566.cn/24.exe
c24=http://down.link5566.cn/25.exe
c25=http://down.link5566.cn/26.exe
c26=http://down.link5566.cn/27.exe
c27=http://down.link5566.cn/28.exe
c28=http://down.link5566.cn/29.exe
c29=http://down.link5566.cn/30.exe