..................................................

ghj89100062

ledled

無語

名称: Packed/NSPack
类型: Sequence

描述:


文件:
c:\users\administrator\desktop\9.exe

saga3721

'DR/Timber.RT [dropper]'
'DR/Agent.AHKC.36 [dropper]'
'TR/Crypt.XDR.Gen [trojan]'

linjw

Begin scan in 'D:\3.rar'
D:\3.rar
    [0] Archive type: RAR
    --> 10.exe
      [DETECTION] Contains recognition pattern of the DR/Timber.RT dropper
      --> 10.exe
        [1] Archive type: NSIS
        --> [ProgramFilesDir]/Internet Explorer/IETimber/IETimber.dll
          [DETECTION] Contains recognition pattern of the ADSPY/Timber.BHO adware or spyware
    --> 9.exe
      [DETECTION] Contains recognition pattern of the DR/Agent.AHKC.36 dropper
      --> 1.exe
          [DETECTION] Is the TR/Crypt.XDR.Gen Trojan
    [NOTE]      A backup was created as '4a14c603.qua'  ( QUARANTINE )
    [NOTE]      The file was deleted!

ghj89100062

Hello,

1.exe_ - Trojan-Downloader.Win32.Small.jha

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

Please quote all when answering.
The answer is relevant to the latest bases from update sources.

The EQs

Ultra String Reference
Address    Disassembly                               Text String
00401019   mov     edi, 00406AE4                     \fonts\timpiatform.exe
00401090   sub     esp, 208                          (initial cpu selection)
00401097   push    00406B18                          as211121as
00401101   mov     edi, 00406B04                     \fonts\wuauclt.exe
00401115   push    00406AFC                          \fonts
00401260   push    00406B64                          software\policies
00401288   push    00406B58                          microsoft
00401299   push    00406B44                          internet explorer
004012AA   push    00406B34                          control panel
004012C1   push    00406B28                          homepage
004012D9   push    00406B24                          1
004012DE   push    00406B24                          1
0040130D   push    00406B98                          software\microsoft\internet explorer\main
00401322   mov     edi, 00406B84                     http://luck114.com
00401333   push    00406B84                          http://luck114.com
0040133B   push    00406B78                          start page
0040138C   push    00406B24                          1
00401391   push    00406B24                          1
00401479   mov     edi, 00406BE8                     \downloaded program files\alg.exe
004014F6   mov     edi, 00406BCC                      http://d.wuc8.com/xx.exe
00401528   push    00406BC4                          open
00401583   push    00406C1C                          http://chat.5525liao.com/
00401588   push    00406C0C                          iexplore.exe
0040158D   push    00406BC4                          open
004015BB   push    00406C50                          software\microsoft\windows\currentversion\policies
004015E6   push    00406C44                          explorer
00401608   push    00406C40                          runexplorer
00401620   mov     edi, 00406B04                     \fonts\wuauclt.exe
00401657   push    00406C40                          runexplorer
00401679   push    00406C38                          360saferunexplorer
004016D0   push    00406C84                          sedebugprivilege
00401850   mov     esi, 00406C98                     #32770
00401AEA   push    00406C98                          #32770
00401BB9   push    00403E9C                          上海可爱小主播qq 365031336

Palkia

1 to rs

BING126

McAfee 报了2个。。