实例:红伞对新病毒反应速度一流!大家注意system32下的smm.exe

显示全部楼层 · 发表于 2009-1-23 17:58:37

现象:
今天红伞更新病毒库后报了C:\WINDOWS\system32\mms.exe
在打开Comodo的时候意外发现的,无数次deny access后毛豆就崩溃了,第一次见毛豆崩溃.
分析:
按四楼的去提交查验了:
20日有人提交过,结果是3%报,红伞不报,达人见教下那VAB32是啥,甚敏甚启发!
22日 Palkia在回6楼的帖子时,在别的网站提交过,只有趋势报了,VAB32和eSafe怀疑
23日我提交检查,11%报了,有红伞,怪物级的G-Data,卡巴报,VAB32依旧怀疑

再看了看5楼在样本区的帖子,发现
2009-1-22 20:52  Joker的帖子,应该是红伞的官方回复
The file 'mms.exe' has been determined to be 'MALWARE'. Our analystsdiscovered that the file is a Trojan. In general this kind of programscontains harmful functionality called payload. Detection will be addedto our virus definition file (VDF) with one of the next updates.
大意就是说mms.exe被判定为恶意软件,分析师发现它是个木马,包含叫payload的有害功能,会被加入下次的升级包.
解决:
看来不是红伞更新库和引擎带来的误报,删之!
以下是两次扫描结果.BD,AVG,NOD等尚沉默,TF也不报.大家务必检查自己的C:\WINDOWS\system32\mms.exe
心得:
1.红伞的反馈速度和升级速度都是一流的,每次联网就升级是很必要的!2009-1-22 19:14 壁虎漫步在样本区发帖,2009-1-22 20:52  Joker就贴出了官方回复,2009-1-23 17:58 我升级后发现病毒,红伞的确神速,值得信赖
2.卡饭甚好甚强大,大家水平也很高!
3.这文件很早就在了,红伞和TF都沉默,还好当初设置毛豆规则是只允许了C:\WINDOWS\system32\下有限的几个程序访问网络,这程序block掉了,,否则我的wow账号岂不是....

扫描结果 :	3%的杀软(1/37)报告发现病毒
时间 :	2009/01/21 14:35:11 (CST)

软件名称	引擎版本	病毒库版本	病毒库时间	扫描结果	时间
a-squared	4.0.0.29	20090120185049	2009-01-20	-	4.558
AntiVir	7.9.0.57	7.1.1.152	2009-01-20	-	1.810
Authentium	5.1.1	200901202134	2009-01-20	-	1.126
AVAST!	3.0.1	090120-0	2009-01-20	-	0.018
AVG	7.5.52.442	270.10.10/1905	2009-01-20	-	1.897
BitDefender	7.81008.2566722	7.23265	2009-01-21	-	2.386
CA (VET)	9.0.0.143	31.6.6317	2009-01-20	-	21.208
ClamAV	0.94.2	8881	2009-01-20	-	0.053
Comodo	3.0	939	2009-01-20	-	2.198
CP Secure	1.1.0.715	2009.01.21	2009-01-21	-	6.761
Dr.Web	4.44.0.9170	2009.01.21	2009-01-21	-	3.907
F-Prot	4.4.4.56	20090120	2009-01-20	-	1.162
F-Secure	5.51.6100	2009.01.21.01	2009-01-21	-	4.465
GData	19.2533/19.193	20090121	2009-01-21	-	9.407
Ikarus	T3.1.01.45	2009.01.21.72183	2009-01-21	-	3.700
Microsoft	1.4205	2009.01.21	2009-01-21	-	5.384
mks_vir	2.01	2009.01.21	2009-01-21	-	2.758
Norman	5.93.01	5.93.00	2009-01-20	-	6.746
nProtect	20090120.02	2997690	2009-01-20	-	5.480
Quick Heal	10.00	2009.01.21	2009-01-21	-	0.940
Sophos	2.82.1	4.37	2009-01-21	-	2.416
Sunbelt	4756	4756	2009-01-08	-	0.535
The Hacker	6.3.1.5	v00224	2009-01-19	-	0.509
VBA32	3.12.8.10	20090119.1342	2009-01-19	Trojan-PSW.Delf.26 (paranoid heuristics) (suspicious)	1.636
ViRobot	20090120	2009.01.20	2009-01-20	-	1.226
VirusBuster	4.5.11.10	10.100.32/762767	2009-01-20	-	1.243
卡巴斯基	5.5.10	2009.01.21	2009-01-21	-	0.114
安博士V3	2009.01.21.01	2009.01.21	2009-01-21	-	3.458
安天	2.0.18	20090118.2063925	2009-01-18	-	0.018
江民杀毒	11.0.706	2009.01.20	2009-01-20	-	3.050
熊猫卫士	9.05.01	2009.01.20	2009-01-20	-	5.535
瑞星	20.0	21.13.20.00	2009-01-21	-	4.402
赛门铁克	1.3.0.24	20090120.003	2009-01-20	-	2.865
趋势科技	8.700-1004	5.780.02	2009-01-20	-	0.059
迈克菲	5.3.00	5501	2009-01-20	-	3.095
金山毒霸	2008.9.8.18	2009.1.21.12	2009-01-21	-	1.750
飞塔	2.81-3.117	9.933	2009-01-15	-	0.428

用今天的病毒库扫了一遍,11%了,该删了

扫描结果 :	11%的杀软(4/37)报告发现病毒
时间 :	2009/01/23 20:25:36 (CST)

软件名称	引擎版本	病毒库版本	病毒库时间	扫描结果	时间
a-squared	4.0.0.29	20090123122922	2009-01-23	-	2.442
AntiVir	7.9.0.60	7.1.1.170	2009-01-23	TR/Agent.hqw	1.836
Authentium	5.1.1	200901221821	2009-01-22	-	1.116
AVAST!	3.0.1	090122-0	2009-01-22	-	71.758
AVG	7.5.52.442	270.10.12/1911	2009-01-23	-	1.984
BitDefender	7.81008.2585211	7.23288	2009-01-23	-	2.436
CA (VET)	9.0.0.143	31.6.6323	2009-01-23	-	15.295
ClamAV	0.94.2	8895	2009-01-23	-	0.054
Comodo	3.0	943	2009-01-23	-	0.888
CP Secure	1.1.0.715	2009.01.23	2009-01-23	-	6.789
Dr.Web	4.44.0.9170	2009.01.23	2009-01-23	-	3.932
F-Prot	4.4.4.56	20090122	2009-01-22	-	1.098
F-Secure	5.51.6100	2009.01.23.02	2009-01-23	-	2.332
GData	19.2567/19.195	20090123	2009-01-23	Trojan.Win32.Agent2.afz [Engine:A]	9.590
Ikarus	T3.1.01.45	2009.01.23.72197	2009-01-23	-	3.690
Microsoft	1.4205	2009.01.23	2009-01-23	-	9.966
mks_vir	2.01	2009.01.22	2009-01-22	-	2.907
Norman	5.93.01	5.93.00	2009-01-20	-	6.788
nProtect	20090123.01	3032277	2009-01-23	-	6.607
Quick Heal	10.00	2009.01.23	2009-01-23	-	0.874
Sophos	2.82.1	4.37	2009-01-23	-	2.457
Sunbelt	4756	4756	2009-01-08	-	1.970
The Hacker	6.3.1.5	v00226	2009-01-22	-	0.735
VBA32	3.12.8.11	20090122.1128	2009-01-22	Trojan-PSW.Delf.26 (paranoid heuristics) (suspicious)	1.668
ViRobot	20090123	2009.01.23	2009-01-23	-	0.413
VirusBuster	4.5.11.10	10.100.35/762874	2009-01-22	-	1.240
卡巴斯基	5.5.10	2009.01.23	2009-01-23	Trojan.Win32.Agent2.afz	0.046
安博士V3	2009.01.23.02	2009.01.23	2009-01-23	-	2.258
安天	2.0.18	20090118.2063925	2009-01-18	-	0.017
江民杀毒	11.0.706	2009.01.23	2009-01-23	-	2.811
熊猫卫士	9.05.01	2009.01.22	2009-01-22	-	2.595
瑞星	20.0	21.13.41.00	2009-01-23	-	1.385
赛门铁克	1.3.0.24	20090122.020	2009-01-22	-	0.062
趋势科技	8.700-1004	5.788.03	2009-01-22	-	0.062
迈克菲	5.3.00	5503	2009-01-22	-	3.112
金山毒霸	2008.9.8.18	2009.1.23.18	2009-01-23	-	0.624
飞塔	2.81-3.117	9.940	2009-01-23	-	0.343

[ 本帖最后由 yuyu711 于 2009-1-23 21:14 编辑 ]

显示全部楼层 · 发表于 2009-1-23 18:36:35

楼主安装暴风影音？记得N年前好像暴风影音曾经带这个？现在已经很久没用过，这个不是系统文件。

显示全部楼层 · 发表于 2009-1-23 18:38:30

有样本不？发到病毒样本区。

显示全部楼层 · 发表于 2009-1-23 19:54:49

我的这个目录下没有MMS这个文件。。。

你可以从小红伞隔离区还原这个文件
上传到在线多引擎网
http://virscan.org/
看看有多少杀软报

[ 本帖最后由 lomo 于 2009-1-23 19:55 编辑 ]

显示全部楼层 · 发表于 2009-1-23 20:20:06

跟我中一样的毒啊~~我昨天发到样本区了
http://bbs.kafan.cn/thread-411442-1-1.html

显示全部楼层 · 发表于 2009-1-23 20:25:47

没暴风影音,这东西不入眼

显示全部楼层 · 发表于 2009-1-23 20:46:52

楼主把文件发到样本区吧。给大家分析分析

显示全部楼层 · 发表于 2009-1-23 21:03:54

谢谢楼主提醒。。今天下午刚扫，没查出来。。

显示全部楼层 · 发表于 2009-1-23 21:05:52

没找到smm.EXE

显示全部楼层 · 发表于 2009-1-23 21:13:17

File ID	Filename	Size (Byte)	Result
25239592	mms.exe	51.5 KB	MALWARE

Please find a detailed report concerning each individual sample below:

Filename	Result
mms.exe	MALWARE

The file 'mms.exe' has been determined to be 'MALWARE'.
Our analysts named the threat TR/Agent.hqw. The term "TR/" denotes a trojan horse that is able to spy out data, to violate your privacy or carry out unwanted modifications to the system.Detection is added to our virus definition file (VDF) starting with version 7.01.01.169.

请手动及时更新至～～库V7.01.01.169。

[已解决] 实例:红伞对新病毒反应速度一流!大家注意system32下的smm.exe

回复 2楼 dd2006 的帖子