值得收藏的病毒(新!!)(其實只是生成物..抱歉)!!

sun88990

Kaspersky

7.0.0.125

2008.08.05

Trojan-Downloader.WMA.GetCodec.d

這不就是大家想要的樣本嗎?

[ 本帖最后由 sun88990 于 2008-8-6 23:22 编辑 ]

spaceplane

红伞 飘

纽约的麻雀

红伞飘过的说

醉一生爱妍

感染video病毒 3Q

spaceplane

http://research.sunbelt-software.com/ViewMalware.aspx?id=5283059

zwl2828

BehavesLike.Trojan.WinlogonHook

弹出窗口：


创建注册表键值：
HKLM\​SOFTWARE\​Microsoft\​MSSMGR\​
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32

修改注册表键值：
HKLM\​SOFTWARE\​Microsoft\​MSSMGR\​     
HKLM\​SOFTWARE\​Microsoft\​MSSMGR\​     
HKLM\​SOFTWARE\​Microsoft\​MSSMGR\​     
HKLM\​SOFTWARE\​Microsoft\​MSSMGR\​     
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32     
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32     
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32     
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32     
HKLM\​SOFTWARE\​Microsoft\​Windows NT\​CurrentVersion\​Winlogon\​Notify\​wingdm32     
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​MediaPlayer\​Preferences\​   

创建文件：
C:\DOCUME~1\user\LOCALS~1\Temp\twe1.bat
C:\sample.bat

修改文件：
C:\DOCUME~1\user\LOCALS~1\Temp\twe1.tmp

调用cmd.exe
修改注册表（修改IE安全设置）：
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​MountPoints2\​{d14d83ce-7d74-11dc-97e2-806d6172696f}\​  
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​MountPoints2\​{d14d83cf-7d74-11dc-97e2-806d6172696f}\​  
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders  
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Explorer\​Shell Folders  
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Internet Settings\​ZoneMap\
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Internet Settings\​ZoneMap\
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Internet Settings\​ZoneMap\​
HKU\​S-1-5-21-1229272821-1004336348-527237240-1003\​Software\​Microsoft\​Windows\​CurrentVersion\​Internet Settings\​ZoneMap\​

监控注册表键值：
HKLM\​Software\​Classes  
HKLM\​Software\​Classes\​CLSID  
HKLM\​Software\​Microsoft\​COM3  
HKU  

修改文件：
MountPointManager
PIPE\lsarpc
PIPE\wkssvc

创建进程：
C:\Program Files\Internet Explorer\IEXPLORE.EXE

删除文件：
C:\DOCUME~1\user\LOCALS~1\Temp\twe1.bat
C:\DOCUME~1\user\LOCALS~1\Temp\twe1.tmp
C:\sample.bat
C:\sample.exe

监控键盘：
VK_ESCAPE (27)
VK_CONTROL (17)

[ 本帖最后由 zwl2828 于 2008-8-6 08:34 编辑 ]

hellobaby

江民飘过。

SpeedDrift

费尔未解压，漂过。。。

不过解压运行之后：


[ 本帖最后由 SpeedDrift 于 2008-8-6 09:05 编辑 ]

无尽藏海

F:\VIRUS\avp12641_Windows_Media_Player_Flash_Codec_Plugin.exe\Windows_Media_Player_Flash_Codec_Plugin.exe             Trojan.Crypt.FD           Deleted

Palkia

金山 0