MSN上发来的（咖啡、铁壳、eset继续无视）

显示全部楼层 · 发表于 2008-10-6 11:22:34

貌似大品牌只有卡巴入库了，其它不知是没人上报，还是没入库。

显示全部楼层 · 发表于 2008-10-6 12:45:25

简单行为分析：

释放文件副本：
%windir%\system32\rykogouw.exe
%windir%\system32\pafoobof.exe

添加注册表启动项：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run，kiby；

安装加载服务项：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\jlaneik7knufxi;

打开本地端口，联网连接以下IP：
66.249.83.27 (gsmtp83.google.com)
64.233.163.27
66.249.83.114 (gsmtp83-2.google.com)
66.249.93.27 (ug-in-f27.google.com)
207.69.200.17 (wanamaker.mail.atl.earthlink.net)
207.69.200.82 (kendall.mail.mindspring.net)
65.54.190.179 (mail2.hotmail.com)
65.54.245.8 (mail.hotmail.com)
206.165.150.109
4.79.181.15
82.118.73.6
170.149.173.130 (www.sea1.nytimes.com)
63.241.84.101
4.36.66.178
216.234.179.13 (ip-216-234-179-13.tera-byte.com)
64.247.49.210
75.126.222.211
……；

显示全部楼层 · 发表于 2008-10-6 13:36:38

还是得国产的消灭掉它

显示全部楼层 · 发表于 2008-10-6 15:19:49

The file 'test.com' has been determined to be 'MALWARE'. Our analysts named the threat TR/Agent.afwe. The term "TR/" denotes a trojan horse that is able to spy out data, to violate your privacy or carry out unwanted modifications to the system.Detection will be added to our virus definition file (VDF) starting with the next update.

显示全部楼层 · 发表于 2008-10-6 15:49:20

Begin scan in 'E:\Download\Virus\test.zip'
E:\Download\Virus\test.zip
[0] Archive type: ZIP
--> test.com
[DETECTION] Is the TR/Agent.afwe Trojan
[NOTE] The file was deleted!

显示全部楼层 · 发表于 2008-10-6 17:15:30

红伞、金山入库！
其它主流继续无视……

显示全部楼层 · 发表于 2008-10-6 17:23:31

上午升级的小红伞不报，再升级，报毒。是新病毒吧。

显示全部楼层 · 发表于 2008-10-6 17:40:18

C:\Documents and Settings\Administrator\桌面\test.zip>>test.com Trojan.Agent.afwe.povw 木马还未处理

显示全部楼层 · 发表于 2008-10-6 18:08:27

原帖由 harry4567 于 2008-10-5 14:38 发表
讓我上報到傘子網

上报已入库伞能杀鸟。

显示全部楼层 · 发表于 2008-10-6 18:32:26

费尔把它干掉了

[病毒样本] MSN上发来的（咖啡、铁壳、eset继续无视）

本帖子中包含更多资源

回复 1楼卡巴007 的帖子

[病毒样本] MSN上发来的（咖啡、铁壳、eset继续无视）

本帖子中包含更多资源

回复 1楼 卡巴007 的帖子

回复 1楼卡巴007 的帖子