U盤病毒 (lhgjyit) 新變種 xc.exe 20090123

显示全部楼层 · 发表于 2009-1-23 11:48:15

U盤病毒 (lhgjyit) 新變種 xc.exe 20090123

行為分析

檔案生成
c:\autorun.inf
%System%\lhgjyit0.dll
%System%\lhgjyit2.dll
%System%\uret463.exe

新進程
uret463.exe

調用進程
lhgjyit2.dll %System%\lhgjyit2.dll ==> explorer.exe
lhgjyit0.dll %System%\lhgjyit0.dll ==> dllhost.exe

增加新註冊表
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
dorfgwe = "%System%\uret463.exe"

修改註冊表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
CheckedValue = 0x00000000

木馬下載器:
http://det67.com/xjj/cc1.rar %Temp%\cc1.rar

显示全部楼层 · 发表于 2009-1-23 11:51:26

rs 0

显示全部楼层 · 发表于 2009-1-23 13:19:04

BD miss

显示全部楼层 · 发表于 2009-1-23 13:27:58

C:\Documents and Settings\Administrator.LY\桌面\xc.exe 已检测: Trojan.Win32.Inhoo!IK

显示全部楼层 · 发表于 2009-1-23 13:54:54

Starting the file scan:

Begin scan in 'C:\Documents and Settings\hhq\桌面\xc.zip'
C:\Documents and Settings\hhq\桌面\xc.zip
[0] Archive type: ZIP
--> xc.exe
[DETECTION] Is the TR/Crypt.XPACK.Gen Trojan
[NOTE] The file was moved to '49a75bb3.qua'!

显示全部楼层 · 发表于 2009-1-23 15:13:20

微点的表现还行

显示全部楼层 · 发表于 2009-1-23 15:21:18

解压之后为何是空文件夹？

显示全部楼层 · 发表于 2009-1-23 15:33:23

原帖由 铩雨骑士 于 2009-1-23 15:21 发表
解压之后为何是空文件夹？

這毒都是隱藏屬性當然看不到囉

显示全部楼层 · 发表于 2009-1-23 15:42:56

kavo?

显示全部楼层 · 发表于 2009-1-23 15:47:11

为什么虚拟机中老不能运行？

[病毒样本] U盤病毒 (lhgjyit) 新變種 xc.exe 20090123

本帖子中包含更多资源

本帖子中包含更多资源

浏览过的版块