U盤病毒 lhgjyit 新變種

显示全部楼层 · 发表于 2009-1-19 21:07:58

U盤病毒 lhgjyit 新變種

目前已測 KAV2009 8.0.0.506 偵測不到

行為分析

檔案生成
c:\autorun.inf
%System%\lhgjyit0.dll
%System%\lhgjyit2.dll
%System%\uret463.exe

新進程
uret463.exe

調用進程
lhgjyit2.dll %System%\lhgjyit2.dll ==> explorer.exe
lhgjyit0.dll %System%\lhgjyit0.dll ==> dllhost.exe

增加新註冊表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
dorfgwe = "%System%\uret463.exe"

修改註冊表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
CheckedValue = 0x00000000

木馬下載器:
http://det67.com/xjj/cc1.rar %Temp%\cc1.rar

显示全部楼层 · 发表于 2009-1-19 21:09:59

to lab

显示全部楼层 · 发表于 2009-1-19 21:11:43

To KL

显示全部楼层 · 发表于 2009-1-19 21:21:54

Access to the data has been denied!
Warning: A virus or unwanted program has been found in the HTTP Data.

Requested URL: http://bbs.kafan.cn/attachment.php?aid=445873&k=19fb2fc8555138363662990a7ae45b56&t=1232371233
Information: Is the TR/Crypt.XPACK.Gen Trojan

Generated by AntiVir WebGuard 8.0.15.0, AVE 8.2.0.57, VDF 7.1.1.139

显示全部楼层 · 发表于 2009-1-19 21:24:25

ESS PASS
http://sample.eset.com.cn/index.php?a=query&lang=0&md5=3c9f14133f0e0ea37b74cb9a579c2182

[ 本帖最后由 ghj89100062 于 2009-1-19 21:27 编辑 ]

显示全部楼层 · 发表于 2009-1-19 21:41:55

刚运行就访问底层磁盘，然后生成Klif.sys，加载驱动，不玩了直接阻止了

显示全部楼层 · 发表于 2009-1-19 22:13:23

小a飘过了！

显示全部楼层 · 发表于 2009-1-19 22:17:48

显示全部楼层 · 发表于 2009-1-19 22:32:39

[0] Archive type: ZIP
--> y319s.exe
[DETECTION] Is the TR/Crypt.XPACK.Gen Trojan

显示全部楼层 · 发表于 2009-1-20 00:21:38

伞报，就不用运行了

[病毒样本] U盤病毒 lhgjyit 新變種

本帖子中包含更多资源

MP KILLED~~

本帖子中包含更多资源

本帖子中包含更多资源