克邻大盗boot.exe恶性病毒

youba

[前言]前段时间"大象"说有个样本 "boot.exe"很恐怖的,我们都说要这个样本咯,然后他说不想那么快放出来,但是最后还是在 "动物园样本区"放出来了,哈,反病毒就要敢于试毒,相信G-AVR的都和我一样,只是我比较菜,所以写的不好请大家原谅!期末没大多时间整理,请各位反病毒高手见谅!
大家可以先看 baidu杀毒的一篇文章 克邻大盗来势汹汹 专杀下载
1.病毒源文件:boot.exe
SHA-160       : 61D84A068E1116F162FA36088E40E6A6C74898B5
MD5           : 7AECBB688406A738F1FEE28593BAF3D9
CRC-32        : 698D690E
autorun.inf :
[Autorun]
shell\open=打开(&O)
shell\open\Command=boot.exe
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=boot.exe
1.病毒行为:
boot.exe 加载 驱动 IsDrv118.sys
进程：
     路径： C:\Documents and Settings\Administrator\桌面\boot.exe
     PID: 1252
驱动：
     路径： C:\WINDOWS\system32\drivers\IsDrv118.sys
     信息： NVIDIA Compatible Windows Miniport Driver, Version 91.31 (NVIDIA Corporation)
-------------------------------------------------------------------------
程序boot.exe 尝试直接存取物理内存,可获得对系统的完全控制权限.
进程：
     路径： C:\Documents and Settings\Administrator\桌面\boot.exe
     PID: 1252
对象：
     路径： C:\WINDOWS\explorer.exe
     信息： Windows Explorer (Microsoft Corporation)
此项允许修改其它程序的虚拟内存，且可用以调整其它程序的性能。
-------------------------------------------------------------------------
程序boot.exe 尝试获取对其他程序的完全控制权限.
进程：
     路径： C:\Documents and Settings\Administrator\桌面\boot.exe
     PID: 1252
对象：
     路径： C:\WINDOWS\explorer.exe
     信息： Windows Explorer (Microsoft Corporation)
此项允许获得全部控制于另一进程的某线程上，且可能被用于“DLL注入”。
C:\windows\system32\linkinfo.dll 注入 explorer
-----------------------------------------------------------------------
boot.exe遇到问题需要关闭.
进程中发现多了一个 C:\windows\system32\cidaemon.exe
模块中也有 C:\windows\system32\linkinfo.dll
然后发现 boot.exe 和 autorun.inf消失了!!! 但是它确切存在!!!

fzz8848

Begin scan in 'E:\Download\Virus\克邻大盗.rar'
E:\Download\Virus\克邻大盗.rar
    [0] Archive type: RAR
    --> boot.exe
      [DETECTION] Contains recognition pattern of the W32/Almanahe.B Windows virus
    [NOTE]      The file was deleted!

2008-10-22 16:28:18    http://bbs.kafan.cn/attachment.php?aid=382269&k=e8b3a0bad76c701956dc835ae5a77126&t=1224663904//boot.exe    Firefox    拒绝: Trojan-Dropper.Win32.Small.axz        
2008-10-22 16:28:18    http://bbs.kafan.cn/attachment.php?aid=382269&k=e8b3a0bad76c701956dc835ae5a77126&t=1224663904//boot.exe    Firefox    已检测到: Trojan-Dropper.Win32.Small.axz

kingmuro

诺顿10.1版本  21日病毒库   杀!

kkgh

瑞星09    Trojan.Win32.Mnless.zec

欠妳緈諨

江湖的fans

小A


杀

linkak

NOD32
D:\virus\克邻大盗.rar » RAR » boot.exe - Win32/Alman.NAB virus

will

Multi Command-Line Scanner Report
-------------------------------------------------------------------------   
D:\Desk\Samples\Collect\MCLS\boot.exe   
MD5 Hash: F19AE9A3054D286EA3C1E12926442F38   
Type: Generic Win/DOS Executable / Extension: .EXE   

A-squared ----- Virus.Win32.Alman.b!IK    
Avast ----- Win32:Small-MIJ [Trj]    
Avg ----- Win32/Alman     
Antivir ----- W32/Almanahe.C    
BitDefender ----- Win32.Almanahe.B    
ClamWin ----- Trojan.Dropper-2902    
Dr.Web ----- Win32.Alman    
NOD32 ----- Win32/Alman.NAB virus    
Ikarus ----- Virus.Win32.Alman.b    
Jiangmin ----- TrojanDropper.Small.fu    
Kaspersky ----- Trojan-Dropper.Win32.Small.axz    
Kingsoft ----- Worm.Agent.cx.40960    
Vba32 ----- Trojan-Dropper.Win32.Small.axz    

*** 13/13 antivirus engines found virus in this file ***   
-------------------------------------------------------------------------   

Task done @ 2008/10/22 三 18:08:04.02   

c5132902