Vundo 5x

qianwenxiang

看文件名猜的 大概是vundo

nosferatu

Virus: TR/Downloader.Gen
Date discovered: 23/01/2007
Type: Trojan
Subtype: Downloader
In the wild: Yes
Reported Infections: Low
Distribution Potential: Low
Damage Potential: Low
Static file: No
Engine version: 7.03.00.29

allinwonderi

[Scanning : C:\Test]


C:\Test\Sak_5.rar<RAR>:wow1dll.exe <- Heur.RoundKick : No action

尤金卡巴斯基

Kaspersky Kill All

2009/1/10 20:16:13        已清除        木马程序 Trojan-GameThief.Win32.WOW.efz        G:\Temp\Virus\Sak_5.rar/polffxi2dll.exe               
2009/1/10 20:16:13        已清除        木马程序 Trojan-GameThief.Win32.WOW.efy        G:\Temp\Virus\Sak_5.rar/polffxi2.exe               
2009/1/10 20:16:13        已清除        木马程序 Trojan-GameThief.Win32.WOW.efx        G:\Temp\Virus\Sak_5.rar/polffxi1dll.exe               
2009/1/10 20:16:13        已清除        木马程序 Trojan-GameThief.Win32.WOW.efw        G:\Temp\Virus\Sak_5.rar/wow1dll.exe               
2009/1/10 20:16:13        已清除        木马程序 Trojan-Dropper.Win32.Agent.aehb          G:\Temp\Virus\Sak_5.rar/polffxi1.exe

[ 本帖最后由 尤金卡巴斯基 于 2009-1-10 20:19 编辑 ]

b0109210010

VirSCAN.org Scanned Report :
Scanned time   : 2009/01/10 21:55:52 (CST)
Scanner results: 47%的杀软(18/38)报告发现病毒
File Name      : Sak_5.rar
File Size      : 64650 byte
File Type      : RAR archive data, v1d, os
MD5            : e830e86cbf182dc6639942f1eebc7cca
SHA1           : 1ef57af5412771d3803b18ba37e73b79036cefa3

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.29        20090109193327    2009-01-09  3.09   Trojan-GameThief.Win32.WOW!IK
安博士V3       2009.01.10.00   2009.01.10        2009-01-10  2.74   Dropper/OnlineGameHack.90624
AntiVir        7.9.0.54        7.1.1.95          2009-01-10  1.77   TR/Downloader.Gen
安天           2.0.18          20090105.1950502  2009-01-05  0.02   -
Authentium     5.1.1           200901092124      2009-01-09  1.15   W32/Heuristic-KPP!Eldorado (Heuristic)
AVAST!         3.0.1           090109-0          2009-01-09  0.03   -
AVG            7.5.52.442      270.10.5/1885     2009-01-09  1.90   PSW.OnlineGames.BMLM
BitDefender    7.81008.2431640 7.23071           2009-01-10  2.24   Generic.Malware.PVPkWk!g.99DCBED7
CA (VET)       9.0.0.143       31.6.6301         2009-01-10  7.92   -
ClamAV         0.94.2          8849              2009-01-10  0.17   -
Comodo         3.0             910               2009-01-10  1.03   -
CP Secure      1.1.0.715       2009.01.10        2009-01-10  6.72   -
Dr.Web         4.44.0.9170     2009.01.10        2009-01-10  3.92   Trojan.PWS.Wow.993
ewido          4.0.0.2         2008.12.31        2008-12-31  6.84   -
F-Prot         4.4.4.56        20090109          2009-01-09  1.15   Possible W32/Heuristic-KPP!Eldorado (not disinfectable)
F-Secure       5.51.6100       2009.01.10.03     2009-01-10  3.13   Trojan-GameThief.Win32.WOW.efw [AVP]
飞塔           2.81-3.117      9.913             2009-01-10  0.38   PossibleThreat
GData          19.2360/19.178  20090110          2009-01-10  6.48   Trojan-Dropper.Win32.Agent.aehb [Engine:A]
ViRobot        20090110        2009.01.10        2009-01-10  0.49   -
Ikarus         T3.1.01.45      2009.01.10.72128  2009-01-10  3.84   Trojan-GameThief.Win32.WOW
江民杀毒       11.0.706        2009.01.10        2009-01-10  2.45   -
卡巴斯基       5.5.10          2009.01.10        2009-01-10  0.15   Trojan-GameThief.Win32.WOW.efw
金山毒霸       2008.9.8.18     2009.1.10.20      2009-01-10  0.85   -
迈克菲         5.3.00          5490              2009-01-09  2.98   -
Microsoft      1.4205          2009.01.10        2009-01-10  6.60   -
mks_vir        2.01            2009.01.10        2009-01-10  2.93   -
Norman         5.93.01         5.93.00           2009-01-05  6.97   -
熊猫卫士       9.05.01         2009.01.10        2009-01-10  6.89   Suspicious file
趋势科技       8.700-1004      5.760.26          2009-01-10  0.08   -
Quick Heal     10.00           2009.01.09        2009-01-09  1.59   -
瑞星           20.0            21.11.52.00       2009-01-10  1.41   Trojan.Win32.Nodef.mv
Sophos         2.82.1          4.37              2009-01-10  2.37   Mal/GamePSW-C
Sunbelt        4756            4756              2009-01-08  0.57   -
赛门铁克       1.3.0.24        20090109.003      2009-01-09  0.33   Infostealer
nProtect       20090109.01     2853873           2009-01-09  5.57   Generic.Malware.PVPkWk!g.99DCBED7
The Hacker     6.3.1.2         v00216            2009-01-09  0.65   -
VBA32          3.12.8.10       20090109.1145     2009-01-09  14.31  -
VirusBuster    4.5.11.10       10.100.20/762326  2009-01-09  1.01   -

schumi小粉

2009-1-10 22:17:57        文件系统实时防护        文件        C:\Documents and Settings\Administrator\桌面\新建文件夹\Sak_5\wow1dll.exe        Win32/PSW.WOW.NHJ 特洛伊木马        通过删除清除 - 已隔离       
2009-1-10 22:17:57        文件系统实时防护        文件        C:\Documents and Settings\Administrator\桌面\新建文件夹\Sak_5\polffxi2dll.exe        Win32/PSW.WOW.NHC 特洛伊木马        通过删除清除 - 已隔离       
2009-1-10 22:17:56        文件系统实时防护        文件        C:\Documents and Settings\Administrator\桌面\新建文件夹\Sak_5\polffxi2.exe        Win32/PSW.WOW.NHL 特洛伊木马        通过删除清除 - 已隔离       
2009-1-10 22:17:56        文件系统实时防护        文件        C:\Documents and Settings\Administrator\桌面\新建文件夹\Sak_5\polffxi1dll.exe        Win32/PSW.WOW.NHL 特洛伊木马        通过删除清除 - 已隔离.
2009-1-10 22:17:56        文件系统实时防护        文件        C:\Documents and Settings\Administrator\桌面\新建文件夹\Sak_5\polffxi1.exe        Win32/PSW.WOW.NHL 特洛伊木马        通过删除清除 - 已隔离       

呵呵，针对暴雪的。。。。。

黄金马甲出租

1000318B        |.  C645 95 52                             mov byte ptr ss:[ebp-6B],52                ; |
1000318F        |.  C645 96 B9                             mov byte ptr ss:[ebp-6A],0B9               ; |
10003193        |.  C645 97 90                             mov byte ptr ss:[ebp-69],90                ; |
10003197        |.  C645 98 90                             mov byte ptr ss:[ebp-68],90                ; |
1000319B        |.  C645 99 90                             mov byte ptr ss:[ebp-67],90                ; |
1000319F        |.  C645 9A 90                             mov byte ptr ss:[ebp-66],90                ; |
100031A3        |.  C645 9B 50                             mov byte ptr ss:[ebp-65],50                ; |
100031A7        |.  C645 9C 51                             mov byte ptr ss:[ebp-64],51                ; |
100031AB        |.  C645 9D B8                             mov byte ptr ss:[ebp-63],0B8               ; |
100031AF        |.  C645 9E 90                             mov byte ptr ss:[ebp-62],90                ; |
100031B3        |.  C645 9F 90                             mov byte ptr ss:[ebp-61],90                ; |
100031B7        |.  C645 A0 90                             mov byte ptr ss:[ebp-60],90                ; |
100031BB        |.  C645 A1 90                             mov byte ptr ss:[ebp-5F],90                ; |
100031BF        |.  C645 A3 D0                             mov byte ptr ss:[ebp-5D],0D0               ; |
100031C3        |.  C645 A4 58                             mov byte ptr ss:[ebp-5C],58                ; |
100031C7        |.  C645 A5 58                             mov byte ptr ss:[ebp-5B],58                ; |
100031CB        |.  C645 A6 5A                             mov byte ptr ss:[ebp-5A],5A                ; |
100031CF        |.  C645 A7 B9                             mov byte ptr ss:[ebp-59],0B9               ; |
100031D3        |.  C645 A8 90                             mov byte ptr ss:[ebp-58],90                ; |
100031D7        |.  C645 A9 90                             mov byte ptr ss:[ebp-57],90                ; |
100031DB        |.  C645 AA 90                             mov byte ptr ss:[ebp-56],90                ; |
100031DF        |.  C645 AB 90                             mov byte ptr ss:[ebp-55],90                ; |
100031E3        |.  C645 AC 52                             mov byte ptr ss:[ebp-54],52                ; |
100031E7        |.  C645 AD 51                             mov byte ptr ss:[ebp-53],51                ; |
100031EB        |.  C645 AE B8                             mov byte ptr ss:[ebp-52],0B8               ; |
100031EF        |.  C645 AF 90                             mov byte ptr ss:[ebp-51],90                ; |
100031F3        |.  C645 B0 90                             mov byte ptr ss:[ebp-50],90                ; |
100031F7        |.  C645 B1 90                             mov byte ptr ss:[ebp-4F],90                ; |
100031FB        |.  C645 B2 90                             mov byte ptr ss:[ebp-4E],90                ; |
100031FF        |.  C645 B4 D0                             mov byte ptr ss:[ebp-4C],0D0               ; |
10003203        |.  C645 B5 6A                             mov byte ptr ss:[ebp-4B],6A                ; |
10003207        |.  C645 B6 05                             mov byte ptr ss:[ebp-4A],5                 ; |
1000320B        |.  C645 B7 68                             mov byte ptr ss:[ebp-49],68                ; |
1000320F        |.  C645 B8 90                             mov byte ptr ss:[ebp-48],90                ; |
10003213        |.  C645 B9 90                             mov byte ptr ss:[ebp-47],90                ; |
10003217        |.  C645 BA 90                             mov byte ptr ss:[ebp-46],90                ; |
1000321B        |.  C645 BB 90                             mov byte ptr ss:[ebp-45],90                ; |
1000321F        |.  C645 BC 68                             mov byte ptr ss:[ebp-44],68                ; |
10003223        |.  C645 BD 90                             mov byte ptr ss:[ebp-43],90                ; |
10003227        |.  C645 BE 90                             mov byte ptr ss:[ebp-42],90                ; |
1000322B        |.  C645 BF 90                             mov byte ptr ss:[ebp-41],90                ; |
1000322F        |.  C645 C0 90                             mov byte ptr ss:[ebp-40],90                ; |
10003233        |.  C645 C1 B8                             mov byte ptr ss:[ebp-3F],0B8               ; |
10003237        |.  C645 C2 90                             mov byte ptr ss:[ebp-3E],90                ; |
1000323B        |.  C645 C3 90                             mov byte ptr ss:[ebp-3D],90                ; |
1000323F        |.  C645 C4 90                             mov byte ptr ss:[ebp-3C],90                ; |
10003243        |.  C645 C5 90                             mov byte ptr ss:[ebp-3B],90                ; |
10003247        |.  C645 C7 D0                             mov byte ptr ss:[ebp-39],0D0               ; |
1000324B        |.  C645 C8 58                             mov byte ptr ss:[ebp-38],58                ; |
1000324F        |.  C645 C9 58                             mov byte ptr ss:[ebp-37],58                ; |
10003253        |.  C645 CA 58                             mov byte ptr ss:[ebp-36],58                ; |
10003257        |.  C645 CB 58                             mov byte ptr ss:[ebp-35],58                ; |
1000325B        |.  C645 CC 58                             mov byte ptr ss:[ebp-34],58                ; |
1000325F        |.  C645 CD 61                             mov byte ptr ss:[ebp-33],61                ; |
10003263        |.  C645 CE E9                             mov byte ptr ss:[ebp-32],0E9               ; |
10003267        |.  C645 CF 90                             mov byte ptr ss:[ebp-31],90                ; |
1000326B        |.  C645 D0 90                             mov byte ptr ss:[ebp-30],90                ; |
1000326F        |.  C645 D1 90                             mov byte ptr ss:[ebp-2F],90                ; |
10003273        |.  C645 D2 90                             mov byte ptr ss:[ebp-2E],90                ; |

很强大的免杀，占了这么多字节

wrq

拒绝访问
无法返回请求的网页

试图访问的网页：

http://bbs.kafan.cn/attachment.php?aid=
439361&k=e6d746fa09598342ef5cfbb8f0be1bf
8&t=1231603129

发生下列错误：

请求的对象被感染，发现下列病毒 Trojan-Dropper.Win32.Agent.aehb


如有疑问，请联系您的技术支持
创建日期：
Sat Jan 10 23:59:23 2009
Kaspersky Lab

fzz8848

Begin scan in 'E:\Download\Virus\Sak_5.rar'
E:\Download\Virus\Sak_5.rar
    [0] Archive type: RAR
      --> polffxi1.exe
        [1] Archive type: RSRC
        --> Object
          [DETECTION] Is the TR/Downloader.Gen Trojan
    --> polffxi1dll.exe
      [DETECTION] Is the TR/Downloader.Gen Trojan
      --> polffxi2.exe
        [1] Archive type: RSRC
        --> Object
          [DETECTION] Is the TR/PSW.Wow.efz Trojan
    --> polffxi2dll.exe
      [DETECTION] Is the TR/PSW.Wow.efz Trojan
    --> wow1dll.exe
      [DETECTION] Is the TR/Downloader.Gen Trojan
    [NOTE]      The file was deleted!