某加密WMV弹出病毒连接下载的exe！更新[网马地址]

ahzsmzkf

诱惑

ahzsmzkf

生成的文件ms是随机变化的，
C：\nuter.bat
C:\Program Files\NetMeeting


下都有

nuter.bat内容

@echo off
sleep 100
C:\OME.EXE



自动调用IE，这个网站好像是www-haoku123-com

[ 本帖最后由 ahzsmzkf 于 2008-10-31 12:34 编辑 ]

sanhu35

反正不单纯就是了
我这里只生成了成人聊天室

2008-10-31 12:41:24        http://bbs.kafan.cn/attachment.p ... 28046//setup.exe//#        Firefox        拒绝: Trojan-Downloader.Win32.Small.afxx               
2008-10-31 12:41:24        http://bbs.kafan.cn/attachment.p ... 28046//setup.exe//#        Firefox        已检测到: Trojan-Downloader.Win32.Small.afxx               
卡巴已经拦截！

ahzsmzkf

原帖由 Anycall-D908 于 2008-10-31 01:20 发表
这个，真受不了。刚执行它，看到xxx激情聊天室。心想：“这是报黄毒的而已吧？没什么看头，谁知道一会儿阿瓦斯特和微点同时报。开始微点报可疑程序，然后是一连串的未知木马。正当我想截图的时候，发现有个对话框... ...

ms屏蔽了截图，我用了两种方式截图都没成，看来只有在实机中截虚拟机中的图，没试了

尤金卡巴斯基

2008/10/31 17:01:30        已清除        木马程序 Trojan-Downloader.Win32.Small.afxx        G:\Temp\Virus\setup.rar/setup.exe//#               
2008/10/31 17:01:29        已清除        木马程序 Trojan-Downloader.Win32.Small.afxx        G:\Temp\Virus\UpChat.zip/UpChat.exe

qianwenxiang

关于:hxxp://mx.yu2u.cn/wmpu/5918-008.htm解密的日志(全体输出-  29):

Level 0>http://mx.yu2u.cn/wmpu/5918-008.htm
Level 1>http://mx.yu2u.cn/wmpu/../root/vop08.htm
Level 2>http://web.fd5a.cn/root/vip2.htm
Level 3>http://web.fd5a.cn/root/baidu.cab  ●
Level 3>http://web.fd5a.cn/root/ppp.js
Level 3>http://web.fd5a.cn/root/real11.htm
Level 3>http://web.fd5a.cn/root/rp10.htm
Level 4>http://www.qxzzj.cn/root/svcos.css  ●
Level 3>http://web.fd5a.cn/root/bfyy.html
Level 3>http://web.fd5a.cn/root/live.htm
Level 3>http://web.fd5a.cn/root/11.htm
Level 4>http://facaizhifuok.cn/root/svcos.exe,0
Level 2>http://web.fd5a.cn/root/off.htm
Level 3>http://www.wq9q.cn/root/svcos.exe  ●
Level 2>http://web.fd5a.cn/hc/fh.htm
Level 3>http://web.fd5a.cn/hc/fl/ffl.html
Level 4>http://web.fd5a.cn/hc/fl/f16.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/f28.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/f45.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/f47.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/f64.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/f115.swf  ●
Level 3>http://web.fd5a.cn/hc/fl/ifl.html
Level 4>http://web.fd5a.cn/hc/fl/i16.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/i28.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/i45.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/i47.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/i64.swf  ●
Level 4>http://web.fd5a.cn/hc/fl/i115.swf  ●

BING126

McAfee  miss

Anycall-D908

原帖由 ahzsmzkf 于 2008-10-31 12:50 发表

ms屏蔽了截图，我用了两种方式截图都没成，看来只有在实机中截虚拟机中的图，没试了

截图是可以的，不过动作要快，要在45秒内完成截图别上传......

Anycall-D908

原帖由 啊弥陀佛 于 2008-10-31 11:26 发表



你的微点是什么版本的??
偶的微点直接报病毒

用的是预升级，其实家庭版早就买好了。一直没装，感觉没区别，所以懒得装....（病毒库当然是最新的了，这个不用说了）