小红伞眼中我们学校登录器成恶意软件了……

咖啡可可

昨天突然不能上网了，搞了好久好久，头都大了，后来一拍脑袋，想起来是不是小红伞 结果发现
我又向小红伞上报 结果今天给我发了封邮件：
Dear Sir or Madam,

Thank you for your email to Avira's virus lab.
Tracking number: INC00224819.


A listing of files alongside their results can be found below:

File ID	Filename	Size (Byte)	Result
25185056	is-430IJ.tmp	32 KB	MALWARE

Please find a detailed report concerning each individual sample below:

Filename	Result
is-430IJ.tmp	MALWARE

The file 'is-430IJ.tmp' has been determined to be 'MALWARE'.
Our analysts named the threat HEUR/Malware. This malware is detected by a special detection routine from the engine module.
无语……
刚刚又在virscan.org上检测了一下 结果：
VirSCAN.org Scanned Report :
Scanned time   : 2008/11/11 19:20:58 (CST)
Scanner results: 3%的杀软(1/39)报告发现病毒
File Name      : is-430IJ.tmp
File Size      : 32768 byte
File Type      : PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bi
MD5            : 7c79cd11f7ddf15f43c8efbf64fca97b
SHA1           : ecbe2939e5ff5c6004651671d2d611691a258107
Online report  : http://virscan.org/report/0ff11f34d6b7a57ac599952c378ed1da.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.23        2008.11.03        2008-11-03  1.53   -
安博士V3       2008.11.11.01   2008.11.11        2008-11-11  0.98   -
AntiVir        7.9.0.29        7.1.0.67          2008-11-11  1.49   HEUR/Malware
安天           2.0.18          20081108.1564159  2008-11-08  0.12   -
Arcavir        1.0.5           200811061144      2008-11-06  1.22   -
Authentium     5.1.1           200811110545      2008-11-11  1.05   -
AVAST!         3.0.1           081110-1          2008-11-10  0.00   -
AVG            7.5.52.442      270.9.0/1780      2008-11-10  1.71   -
BitDefender    7.60825.2124262 7.21800           2008-11-11  3.41   -
CA (VET)       9.0.0.143       31.6.6203         2008-11-11  3.95   -
ClamAV         0.94            8607              2008-11-11  0.02   -
Comodo         2.11            2.0.0.703         2008-11-10  0.46   -
CP Secure      1.1.0.715       2008.11.11        2008-11-11  6.38   -
Dr.Web         4.44.0.9170     2008.11.11        2008-11-11  3.46   -
ewido          4.0.0.2         2008.11.10        2008-11-10  5.41   -
F-Prot         4.4.4.56        20081110          2008-11-10  1.05   -
F-Secure       5.51.6100       2008.11.11.01     2008-11-11  0.08   -
飞塔           2.81-3.117      9.701             2008-11-10  0.20   -
GData          19.1475/19.99   20081111          2008-11-11  2.76   -
ViRobot        20081111        2008.11.11        2008-11-11  0.41   -
Ikarus         T3.1.01.45      2008.11.11.71835  2008-11-11  3.41   -
江民杀毒       11.0.706        2008.11.11        2008-11-11  1.42   -
卡巴斯基       5.5.10          2008.11.11        2008-11-11  0.07   -
金山毒霸       2008.9.8.18     2008.11.11.17     2008-11-11  0.92   -
迈克菲         5.3.00          5430              2008-11-10  2.43   -
Microsoft      1.4104          2008.11.11        2008-11-11  4.10   -
mks_vir        2.01            2008.11.10        2008-11-10  2.72   -
Norman         5.93.01         5.93.00           2008-11-10  5.11   -
熊猫卫士       9.05.01         2008.11.10        2008-11-10  2.30   -
趋势科技       8.700-1004      5.648.05          2008-11-11  0.03   -
Quick Heal     9.50            2008.11.11        2008-11-11  1.87   -
瑞星           20.0            21.03.10.00       2008-11-11  0.82   -
Sophos         2.80.0          4.35              2008-11-11  1.90   -
Sunbelt        3.1.1785.2      4374              2008-11-04  0.53   -
赛门铁克       1.3.0.24        20081110.003      2008-11-10  0.05   -
nProtect       2008-11-11.01   2385766           2008-11-11  4.41   -
The Hacker     6.3.1.1         v00147            2008-11-10  0.46   -
VBA32          3.12.8.9        20081109.2030     2008-11-09  1.40   -
VirusBuster    4.5.11.10       10.92.3/671409    2008-11-10  0.87   -
就是小红伞……唉
解释一下 这个文件名是随机的

[ 本帖最后由 咖啡可可 于 2008-11-11 19:25 编辑 ]

shanghuimin

排除了也不行？
我们学校的一点问题都没有

spaceplane

可能是红伞不认识中文导致了排除失败

咖啡可可

排除了就可以了  真的搞了我好久好久

lomo

不知道你上报样本选了什么类型

下次上报建议样本类型选 误报
http://analysis.avira.com/samples/


目前排除能用就将就吧~

Kitman

可以上傳上來嗎

ngh55

定为恶意软件很可能是该登录器会把登录的客户端的信息向学校服务器传送，不似XP自带的PPPoE 干净。
伞一定认为未经许可就自行传送用户信息是木马行为，很强啊小伞！[:27:]

Dirk

这个不过是个临时文件。。。

符号

排除了也不行吗

08红伞威点

原帖由 lomo 于 2008-11-11 19:46 发表
不知道你上报样本选了什么类型

下次上报建议样本类型选 误报
http://analysis.avira.com/samples/
397050

目前排除能用就将就吧~

嗯，LZ按5楼‘误报’上报一下，如回复还这样，自个确认无问题只好伞排除一下啦。