新的感染exe文件的病毒，多引擎扫描一个也不报

dikex

在C:\WINDOWS\system32\drivers下生成lsass.exe；
在C:\Documents and Settings\当前用户名\「开始」菜单\程序\启动下面生成~.pif，用这个方法自启动以躲过卡巴的主动防御；
并将启动文件夹设置为隐藏属性，利用windows的一个漏洞（算是吧）：把启动文件夹或者里面的文件设为隐藏属性后，即使在文件夹选项里面把隐藏都打开了，在开始菜单仍然会看不到启动文件夹或者里面的文件；
多引擎扫描一个也没有报，它能感染exe文件的病毒，不过看它的行为不像是viking或者熊猫，应该又是一种新的感染exe文件的病毒吧，最近真是多这类型病毒；
被感染的exe文件大小明显增大，而且图片颜色变深，有些被感染的会出席无法运行的情况，如果被感染的可以运行，把运行后在同一目录出现的.tmp文件复制下来，重命名为.exe文件即可重新找回原来的程序

把lsass.exe和~.pif发出来，密码virus

小邪邪

AVG和mcafee都没查出来，只好试运行下看看

如果真是新变种就麻烦了（只怕机子上的EXE文件要遭殃）

突然觉得有点怕怕的还是删掉算了

ALEXBLAIR

Hello.

New malicious software was found in the attached file.
Virus.Win32.Small.p
It's detection will be included in the next update. Thank you for your help.
-----------------
Regards, Roman Gavrilchenko
Virus Analyst, Kaspersky Lab.

Ph.: +7(495) 797-8700
E-mail: newvirus@kaspersky.com
http://www.kaspersky.com   http://www.viruslist.com


> Attachment: lsass.zip

>  password:infected
>  
>   
>  
>   
>  
>  ======
>  
>  it can make a file named C:\Documents and  
> Settings\%username%\start\programmer\startup\~.pif
>  
>  the ~.pif file will auto start at next time.
>  
>  The ~.pif can not show in start menu.
>  
>

小邪邪

呵呵，卡巴回复得真快
（这就是他的优点）：

您好。
在附件中发现了新型的恶意软件。
Virus.Win32.Small.p
在下次更新时将添加到病毒库中。 谢谢您的支持。

leohare

原帖由 小邪邪 于 2006-12-24 22:28 发表
呵呵，卡巴回复得真快
（这就是他的优点）：

您好。
在附件中发现了新型的恶意软件。
Virus.Win32.Small.p
在下次更新时将添加到病毒库中。 谢谢您的支持。

呵呵,
还是卡巴的态度比较好.

丫头

卡巴斯基实验室太厉害了~~~

ttdown

刚才我又把此压缩文件去掉密码重新打包上传多引擎扫描网站（http://virusscan.jotti.org/），发现除了卡巴外，还有以下几款杀软也报了，看来这几个杀软的处理速度也不错呀。
AVG Antivirus            Found Worm/Generic.AFY
F-Secure Anti-Virus    Found Virus.Win32.Small.p  
Fortinet                     Found W32/Small.P  
Kaspersky Anti-Virus  Found Virus.Win32.Small.p  

可惜呀，我的小红伞没报！ 它不报我报！

ttdown

上报给小红伞了，处理速度挺快的，第二天就回复了，现在已可查杀。

Dear Sir or Madam,


Thank you for your recent inquiry.

We found a new virus in the attachment you have sent us.
The pattern recognition will be integrated in one of our next updates.
The virus will be detected as W32/Small.p

We thank you for your assistance.

Attachment(s) you sent:
-  infected.rar
-  lsass.rar
--
Freundliche Gruesse / Best regards
Avira GmbH

Fabian Henne
First Level Support

Avira GmbH
Lindauer Str. 21, D-88069 Tettnang, Germany
Internet: http://www.avira.com