过红伞高启的东东哦

capsshift

今天中招了，怎么中的都不知道。

在网上看到有同样经历的人，知道如何解决后，把样本送上。

浪滔天

也过卡8 454的高启发扫描。

linjw

上报红伞

浪滔天

2008-10-30 19:44:28        kdigo.exe                添加到群组        低受限       
2008-10-30 19:44:28        kdigo.exe                启动进程        F:\病毒样本\kdigo\kdigo.exe       
2008-10-30 19:44:32        kdigo.exe        已被拒绝: KLPrivileges/KLPermissionSystem/KLPermissionPrivileges/KLSetDbgPrivilege        设置调试权限               
2008-10-30 19:44:41        kdigo.exe        已被拒绝: KLSystemData/KLSystemFiles/SystemDll        创建        C:\WINDOWS\system32\kernel32.dll       
2008-10-30 19:44:45        kdigo.exe        已被拒绝: KLPrivateData/KLPrivateUserFiles/Cookies2        创建        C:\Documents and Settings\GWH\Cookies\index.dat       
2008-10-30 19:44:45        kdigo.exe        已被拒绝: KLSystemData/KLSystemFiles/SystemExe        创建        C:\WINDOWS\system32\kdwhi.exe       
2008-10-30 19:44:46        kdigo.exe                创建        C:\WINDOWS\system32\kdwdb.tmp       
2008-10-30 19:44:46        kdigo.exe                创建        HKEY_USERS\S-1-5-21-2025429265-308236825-725345543-1003\Software\Microsoft\Windows\CurrentVersion/kdwdb.tmp       
2008-10-30 19:44:57        kdigo.exe        已被拒绝: KLSystemData/KLStartupRegKeys/Winlogon_Shell        修改        hklm\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon       
2008-10-30 19:45:21        kdigo.exe        已被拒绝: KLPrivileges/KLPermissionAppAccess/KLPermissionProcEmbed/KLCodeInject        插入代码        c:\windows\alcrmv.exe       
2008-10-30 19:45:21        kdigo.exe                退出进程        F:\病毒样本\kdigo\kdigo.exe       
又是一个破坏音频驱动的东东，自动联网更新音频驱动的话会下载病毒，动作卡8貌似都拦截了，但音频驱动还是被干掉了。

972929

NOD捉住了！

xiaotuzi

谁用微点测试一下！　

312612205

AVG过~~

will

沙盘里：
1.获取SystemEnvironment权限
2.遍历进程，访问所有进程内存
3.自动退出
貌似是反沙盘

Multi Command-Line Scanner Report
-------------------------------------------------------------------------   
D:\Desk\Samples\Collect\MCLS\kdigo.exe   
MD5 Hash: AE36DF23ECF1FE4D128BA9796A56A4CE   
Type: Win32 Executable Generic / Extension: .EXE   

A-squared ----- Trojan.Fakeav.1!IK    
Avast ----- Win32:Fasec [Trj]    
Avg ----- Nothing   
Antivir ----- Nothing   
BitDefender ----- Trojan.FakeAV.1.Gen    
ClamWin ----- Nothing   
Dr.Web ----- Nothing   
NOD32 ----- a variant of Win32/Kryptik.BB trojan    
Ikarus ----- Trojan.Fakeav.1    
Jiangmin ----- Nothing   
Kaspersky ----- Nothing   
Kingsoft ----- Nothing   
Vba32 ----- Nothing   

*** 5/13 antivirus engines found virus in this file ***   
-------------------------------------------------------------------------   

Task done @ 2008/10/30 四 20:05:01.94   

[ 本帖最后由 will 于 2008-10-30 20:05 编辑 ]

BING126

McAfee  miss

linjw

File ID ?Filename Size (Byte) Result
25176254  kdigo.rar 63.28 KB OK

A listing of files contained inside archives alongside their results can be found below:

File ID ?Filename Size (Byte) Result
25176255  kdigo.exe  67.5 KB  MALWARE


Please find a detailed report concerning each individual sample below:

?Filename Result
kdigo.exe  MALWARE

The file 'kdigo.exe' has been determined to be 'MALWARE'. Our analysts discovered that the file is a Trojan. In general this kind of programs contains harmful functionality called payload. Detection will be added to our virus definition file (VDF) with one of the next updates.