验证一下真实性

显示全部楼层 · 发表于 2008-12-6 17:14:33

懒得GHOST，不测

显示全部楼层 · 发表于 2008-12-6 17:34:00

今晚拿去网吧试试

显示全部楼层 · 发表于 2008-12-6 18:02:12

有点冲动，可是不敢动呀

显示全部楼层 · 发表于 2008-12-6 18:22:37

等我明天有空，拿正版影子系统2008来测试下。
这样本不是病毒？卡巴2009未报。

[ 本帖最后由一刀大师于 2008-12-7 08:59 编辑 ]

显示全部楼层 · 发表于 2008-12-6 21:59:22

影子2008正式版fat32格式下，重启未发现异常，加载了一个dogkiller.sys，关机延迟写入12.exe，system32文件夹生成附件的两个文件并联网，但是联网未下载任何东西（等了十分钟）

显示全部楼层 · 发表于 2008-12-7 07:53:02

同上，加载dogkiller.sys，修改系统时间，NTFS格式下shadow defender275重启后被穿。

显示全部楼层 · 发表于 2008-12-7 10:16:29

影子2008正式版NTFS格式下，重启未发现异常，userinit.exe未被修改。加载了dogkiller.sys，但未如楼上所言修改系统时间，重启前后均未修改。
加载了dogkiller.sys，算不算被穿呢？
FAT32格式下shadow defender275重启后被穿，userinit.exe被修改。
修改后的userinit.exe MD5值：

原始userinit.exe MD5值：

[ 本帖最后由一刀大师于 2008-12-7 18:14 编辑 ]

显示全部楼层 · 发表于 2008-12-7 11:02:45

这个样本我发现就nod报了，nod还是不错的

显示全部楼层 · 发表于 2008-12-7 11:19:00

但NOD32的误报不少吧？各种注册机，在它眼中，都是毒。

显示全部楼层 · 发表于 2008-12-7 11:56:17

原帖由 一刀大师 于 2008-12-7 11:19 发表
但NOD32的误报不少吧？各种注册机，在它眼中，都是毒。

有影子还怕误报吗。运行一下就知道了。呵呵

[讨论] 验证一下真实性