红伞报flashget1.9.6版的updates.exe为木马，风云监控到可疑行为

451102995

今天如常安装了flashget的1.9.6版...因为不太喜欢2.0版的缘故~~所以我一直都是用这个版本的！！但今天安装完成后启动flashget，红伞报其中的updates.exe为木马：TR/Hijacker.Gen...然后我看到flashget运行如常...也就随便红伞把这文件杀了...因为我印象中红伞杀过这个文件，所以我也觉得没什么所谓....可是当我使用flashget在“问道”官网下载这个游戏的客户端的时候...风云监控到这个已经被红伞杀了的updates.exe向系统目录（c:windows\system\）新建一个名为updates.exe的文件....由于以前使用flashget的时候风云都没有这个监控提示，加上这次红伞又警报这个updates.exe的程序是木马...究竟发生什么事情了？？
PS:我提取了系统目录（c:windows\system\）中的那个updates.exe单独扫描，和发到多引擎扫描，红伞均没有报毒（注意：是新建到系统目录里的没有报毒，至于D盘的那个updates.exe已经被红伞杀了！多引擎的图在下面...
）
PS：风云提示操作的时候我选择了允许，因为那时候红伞并没有警报，这会出现问题吗？
PS：重启后发现这个系统目录下的updates.exe会自动运行...并且是SYSTEM权限..再看了下系统的服务项...发现多了一项updates.exe..并且是自动运行的....我发现后已经把c:windows\system\目录下的updates.exe的删除..并且把那个服务项也禁止和删除了！ ....究竟发生什么事啊！！！

[ 本帖最后由 451102995 于 2008-11-1 03:35 编辑 ]

秘书

上传样本

451102995

你是要那个样本呢？如果你想要D盘里的那个updates.exe...这已经被红伞杀了..我也清空了隔离区..所以这个样本没有了...
如果是要系统目录里的那个updates.exe....我已经发了多引擎的图...只有一个报而已....

451102995

没有人知道为什么吗？？以前安装的时候都没有这情况~~~~红伞也没有报系统目录下的updates.exe...但正常系统不应该有这个文件的啊~明显是flashget放到那里的...

KFfoxstep

没有样本说了也没用的

comuslxl

往SYSTEM里面创建Updates比较奇怪

eyesineyes

FP，估计

ngh55

我也用快车196，程序文件夹内有个FGUpdate 空文件夹，但只要运行快车允许连网并创建服务后就会自动生成个updates.exe，以往伞都没报过，今天报了。用快车就要防它一手，它有许多“不良行为”，话说回来下载工具有几个没有不良行为的？迅雷的不良行为更多。
快车只要一运行就会向注册表中写入不少东西，我设置了禁止写入的有：

2008-11-01 12:39:45    创建注册表值      操作:阻止
进程路径:D:\Program Files\FlashGet\flashget.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\&  使用快车(FlashGet)下载

2008-11-01 12:39:45    创建注册表值      操作:阻止
进程路径:D:\Program Files\FlashGet\flashget.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\MenuExt\& 使用快车(FlashGet)下载全部链接

2008-11-01 12:39:46    创建注册表值      操作:阻止
进程路径:D:\Program Files\FlashGet\flashget.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2F364306-AA45-47B5-9F9D-39A8B94E7EF7}

2008-11-01 12:39:53    修改文件      操作:阻止
进程路径:D:\Program Files\FlashGet\flashget.exe
文件路径:C:\WINDOWS\system32\drivers\etc\hosts

它不但要在浏览器的右键中创建 使用快车(FlashGet)下载、使用快车(FlashGet)下载全部链接，还要在IE 中创建BHO，更有甚者还要写入 hosts 文件。
对这类工具软件就是用它的同时还要限制它。到现在还没发现它向windows\system\ 目录下写入过什么东西。
暂时关闭伞的监控才能恢复updates.exe ，但一打开监控立刻又要报了。

多引擎扫描结果在下面，只有伞和小A 的引擎报了，       G DATA 报一定是小A 引擎。

File:	updates.rar
Status:	INFECTED/MALWARE
MD5:	ff28181713a07dffdbcf5d4f0d35864a

A-Squared	Found  nothing
AntiVir	Found TR/Hijacker.Gen
ArcaVir	Found  nothing
Avast	Found Win32:Trojan-gen {Other}
AVG Antivirus	Found  nothing
BitDefender	Found  nothing
ClamAV	Found  nothing
CPsecure	Found  nothing
Dr.Web	Found  nothing
F-Prot Antivirus	Found  nothing
F-Secure Anti-Virus	Found  nothing
G DATA	Found Win32:Trojan-gen
Ikarus	Found  nothing
Kaspersky Anti-Virus	Found  nothing
NOD32	Found  nothing
Norman Virus Control	Found  nothing
Panda Antivirus	Found  nothing
Sophos Antivirus	Found  nothing
VirusBuster	Found  nothing
VBA32	Found  nothing

附上样本：

eyesineyes

原帖由 ngh55 于 2008-11-1 13:44 发表
我也用快车196，程序文件夹内有个FGUpdate 空文件夹，但只要运行快车允许连网并创建服务后就会自动生成个updates.exe，以往伞都没报过，今天报了。用快车就要防它一手，它有许多“不良行为”，话说回来下载工具有几个 ...

你禁止的这几个应该都是正常行为。都是右键菜单和集成到IE的插件。

bluecrazy

先谢谢大家了