也过卡巴和AVG,看看是不是病毒?

zx_19860101

大家看看吧

[ 本帖最后由 ALEXBLAIR 于 2007-1-11 23:45 编辑 ]

小邪邪

运行了一下，会调用系统中的ShimEng.dll，IMM32.DLL，LPK.DLL，winmm.dll等文件
可疑

ALEXBLAIR

分析报告:
类型：木马
描述：
木马将会创建以下进程：
C:\WINDOWS\Logo1_.exe
C:\WINDOWS\uninstall\rundl132.exe

其中C:\WINDOWS\Logo1_.exe是主要文件

木马流程：
试图关闭：金山毒霸的进程：Kingsoft AntiVirus Service
建立C:\WINDOWS\uninstall\rundl132.exe
并建立以下注册表启动项：
   注册表键： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
   注册表值： load
      类型: REG_SZ
      值： C:\WINDOWS\uninstall\rundl132.exe
调用显卡驱动来注入系统
"C:\WINDOWS\system32\ntvdm.exe" -f -i1 -w -a C:\WINDOWS\system32\krnl386.exe
最后注入explorer.exe接管内存和获得系统级进程。

最后一步就是：向外放信息！（所有木马都要干的）

ALEXBLAIR

在虚拟机上的调试日志

1. 
   
2. 父级进程：
   
3.    路径： Z:\SETUP\SETUP.EXE
   
4.    PID: 1588
   
5. 子级进程：
   
6.    路径： C:\WINDOWS\system32\net.exe
   
7.    信息： Net Command (Microsoft Corporation)
   
8.    命令行：net stop "Kingsoft AntiVirus Service"
   
9. 父级进程：
   
10.    路径： C:\WINDOWS\system32\net.exe
    
11.    PID: 1608
    
12.    信息： Net Command (Microsoft Corporation)
    
13. 子级进程：
    
14.    路径： C:\WINDOWS\system32\net1.exe
    
15.    信息： Net Command (Microsoft Corporation)
    
16.    命令行：net1 stop "Kingsoft AntiVirus Service"
    
17. 进程：
    
18.    路径： Z:\SETUP\SETUP.EXE
    
19.    PID: 1588
    
20. 注册表群组：
    
21. 对象：
    
22.    注册表键： HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    
23.    注册表值： load
    
24.       类型: REG_SZ
    
25.       值： C:\WINDOWS\uninstall\rundl132.exe
    
26. 父级进程：
    
27.    路径： Z:\SETUP\SETUP.EXE
    
28.    PID: 1588
    
29. 子级进程：
    
30.    路径： C:\WINDOWS\Logo1_.exe
    
31.    命令行：C:\WINDOWS\Logo1_.exe
    
32.    路径： C:\WINDOWS\Logo1_.exe
    
33.    PID: 1696
    
34. 子级进程：
    
35.    路径： C:\WINDOWS\system32\net.exe
    
36.    信息： Net Command (Microsoft Corporation)
    
37.    命令行：net stop "Kingsoft AntiVirus Service"
    
38. 父级进程：
    
39.    路径： C:\WINDOWS\system32\cmd.exe
    
40.    PID: 1684
    
41.    信息： Windows Command Processor (Microsoft Corporation)
    
42. 子级进程：
    
43.    路径： C:\WINDOWS\system32\ntvdm.exe
    
44.    信息： NTVDM.EXE (Microsoft Corporation)
    
45.    命令行："C:\WINDOWS\system32\ntvdm.exe" -f -i1 -w -a C:\WINDOWS\system32\krnl386.exe
    
46. 父级进程：
    
47.    路径： C:\WINDOWS\system32\net.exe
    
48.    PID: 1728
    
49.    信息： Net Command (Microsoft Corporation)
    
50. 子级进程：
    
51.    路径： C:\WINDOWS\system32\net1.exe
    
52.    信息： Net Command (Microsoft Corporation)
    
53.    命令行：net1 stop "Kingsoft AntiVirus Service"
    
54. 父级进程：
    
55.    路径： C:\WINDOWS\Logo1_.exe
    
56.    PID: 1696
    
57. 子级进程：
    
58.    路径： C:\WINDOWS\system32\net.exe
    
59.    信息： Net Command (Microsoft Corporation)
    
60.    命令行：net stop "Kingsoft AntiVirus Service"
    
61. 父级进程：
    
62.    路径： C:\WINDOWS\system32\svchost.exe
    
63.    PID: 756
    
64.    信息： Generic Host Process for Win32 Services (Microsoft Corporation)
    
65. 子级进程：
    
66.    路径： C:\WINDOWS\system32\wbem\wmiadap.exe
    
67.    信息： WMI (Microsoft Corporation)
    
68.    命令行：wmiadap.exe /F /T
    
69. 进程：
    
70.    路径： C:\WINDOWS\Logo1_.exe
    
71.    PID: 1696
    
72. 对象：
    
73.    路径： C:\WINDOWS\explorer.exe
    
74.    信息： Windows Explorer (Microsoft Corporation)
    
75. 此项允许修改其它程序的虚拟内存，且可用以调整其它程序的性能。
    
76. 进程：
    
77.    路径： C:\WINDOWS\Logo1_.exe
    
78.    PID: 1696
    
79. 对象：
    
80.    路径： C:\WINDOWS\explorer.exe
    
81.    信息： Windows Explorer (Microsoft Corporation)
    
82. 此项允许获得全部控制于另一进程的某线程上，且可能被用于“DLL注入”。
    

复制代码

曲中求

刚刚在机子上运行试了一下，NOD 32 2.70.25没有反应，CPU占用100%。于是打开任务管理器手工结束其进程SETUP.exe，机子运行又正常了，重启机器也没有发现任何可疑进程，打开所有隐藏文件，在系统目录下也没有发现创建的文件，也没有外联的情况…………

[ 本帖最后由 曲中求 于 2007-1-11 21:22 编辑 ]

ALEXBLAIR

原帖由 曲中求 于 2007-1-11 21:20 发表
刚刚在机子上运行试了一下，NOD 32 2.70.25没有反应，CPU占用100%。于是打开任务管理器手工结束其进程SETUP.exe，机子运行又正常了，重启机器也没有发现任何可疑进程，打开所有隐藏文件，在系统目录下也没有发现 ...

调用的是ie或其他的正常程序进行外联的，自身不对外联系。
至于那些文件，用的是rookit驱动，一般情况下看不到，要用icesword这类的底层工具去掉保护驱动后才能看到。

这个文件主要是针对金山开发的，标准的国产软件，可惜没有截获外联的信息包。
大致属于password或backdoor类的木马。（但是没有开端口）

曲中求

哦。。。。原来如此，学习。。。

目前MS一切正常，已经运行了20多个木马了。还没有发现异常现象，让人期待啊。。。

[ 本帖最后由 曲中求 于 2007-1-11 21:46 编辑 ]

ttdown

原帖由 ALEXBLAIR 于 2007-1-11 20:54 发表
在虚拟机上的调试日志



父级进程：
   路径： Z:\SETUP\SETUP.EXE
   PID: 1588
子级进程：
   路径： C:\WINDOWS\system32\net.exe
   信息： Net Command (Microsoft Corporation)
   命令行： ...

版主用什么软件分析的？好详细的日志！另外，用的是哪一个虚拟机软件？

BTW：小红伞报了！

Begin scan in 'E:\TOOLS\Virus-TEST\New\SETUP.rar'
E:\TOOLS\Virus-TEST\New\SETUP.rar
  [0] Archive type: RAR
  --> SETUP.exe
      [DETECTION] Is the Trojan horse TR/Crypt.NSPM.Gen
      [INFO]      A backup was created as '45fa4324.qua'  ( QUARANTINE )
      [INFO]      The file was renamed to 'SETUP.rar.VIR'!

[ 本帖最后由 ttdown 于 2007-1-11 21:56 编辑 ]

chow2006

微点把它查出来了

vmzy

小红伞KO！
SETUP.exe
      [DETECTION] Is the Trojan horse TR/Crypt.NSPM.Gen