一只肥马来也：92%的杀软(34/37)报告发现病毒

小飞侠.net

一只肥马来也：92%的杀软(34/37)报告发现病毒

样本下载：h t tp://www.zy54.com/tlwg.exe



样本有点肥，自己下载吧：），没报的就上报给杀毒软件。


ht tp://virusscan.jotti.org/虽然引擎少一些，扫描结果没类似下面两 个的网址，但支持同时显示三个木马病毒名，如图：




回沙发兄：

1. Win32/Parite.b的病毒程序用C++编写，组成的组件是由汇编程序编写的，感染的文件运行后，直接控制病毒生成文件使其将病毒文件写为临时文件并执行它的感染程序，并在逻辑硬盘和局域网里的共享目录里搜索所有.scr和.exe类型的Win32 PE格式文件进行感染。来自：htt p://baike.baidu.com/view/849051.htm，注：是个2002年的老病毒，可见盗号的技术含金量太低了。
   
2. 
   
3. 上传服务器时间：Tue, 10 Mar 2009 10:23:10 GMT
   
4. 
   
5. 木马生成的文件
   
6. The following files were modified:
   
7. [pathname with a string SHARE]\DW20.EXE
   
8. [pathname with a string SHARE]\DWTRIG20.EXE
   
9. [pathname with a string SHARE]\msinfo32.exe
   
10. [pathname with a string SHARE]\sapisvr.exe
    
11. %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn1.exe
    
12. %ProgramFiles%\Internet Explorer\Connection Wizard\icwconn2.exe
    
13. %ProgramFiles%\Internet Explorer\Connection Wizard\icwrmind.exe
    
14. %ProgramFiles%\Internet Explorer\Connection Wizard\icwtutor.exe
    
15. %ProgramFiles%\Internet Explorer\Connection Wizard\inetwiz.exe
    
16. %ProgramFiles%\Internet Explorer\Connection Wizard\isignup.exe
    
17. %ProgramFiles%\Internet Explorer\iedw.exe
    
18. %ProgramFiles%\MSN\MSNCoreFiles\Install\MSN9Components\Digcore.exe
    
19. %ProgramFiles%\MSN\MSNCoreFiles\Install\MSN9Components\Msncli.exe
    
20. %ProgramFiles%\MSN\MSNCoreFiles\Install\msnsusii.exe
    
21. %ProgramFiles%\MSN\MSNIA\msniasvc.exe
    
22. %ProgramFiles%\MSN\MSNIA\prestp.exe
    
23. %ProgramFiles%\MSN\MsnInstaller\msninst.exe
    
24. %ProgramFiles%\NetMeeting\conf.exe
    
25. %ProgramFiles%\NetMeeting\wb32.exe
    
26. %ProgramFiles%\Outlook Express\msimn.exe
    
27. %ProgramFiles%\Outlook Express\oemig50.exe
    
28. %ProgramFiles%\Outlook Express\setup50.exe
    
29. %ProgramFiles%\Outlook Express\wab.exe
    
30. %ProgramFiles%\Outlook Express\wabmig.exe
    
31. %ProgramFiles%\Web Publish\WPWIZ.EXE
    
32. %ProgramFiles%\Windows Media Player\migrate.exe
    
33. %ProgramFiles%\Windows Media Player\setup_wm.exe
    
34. %ProgramFiles%\Windows Media Player\wmplayer.exe
    
35. %ProgramFiles%\Windows NT\Accessories\wordpad.exe
    
36. %ProgramFiles%\Windows NT\dialer.exe
    
37. %ProgramFiles%\Windows NT\hypertrm.exe
    
38. %ProgramFiles%\Windows NT\Pinball\PINBALL.EXE
    
39. %ProgramFiles%\WinPcap\rpcapd.exe
    
40. %ProgramFiles%\WinPcap\Uninstall.exe
    
41. 
    
42. 在线沙盘ht tp://www.threatexpert.com/report.aspx?md5=4e531d0ef2102a0f237d77c1b0188527
    
43. 
    
44. 
    
45. 
    
46. Norman SandBox Reporter
    
47. 
    
48. tlwg.exe : INFECTED with Pinfi (Signature: W32/Pinfi)
    
49. 
    
50. 
    
51. [ DetectionInfo ]
    
52.    * Filename: C:\analyzer\scan\tlwg.exe.
    
53.    * Sandbox name: Pinfi.A.dropper.
    
54.    * Signature name: W32/Pinfi.A.
    
55.    * Compressed: NO.
    
56.    * TLS hooks: NO.
    
57.    * Executable type: Application.
    
58.    * Executable file structure: OK.
    
59.    * Filetype: PE_I386.
    
60. 
    
61. [ General information ]
    
62.    * File length:      2368994 bytes.
    
63.    * MD5 hash: 4e531d0ef2102a0f237d77c1b0188527.
    
64. 
    
65. [ Changes to filesystem ]
    
66.    * Creates file C:\WINDOWS\TEMP\bbh1748.tmp.
    
67.    * Creates file C:\WINDOWS\TEMP\fkh2986.tmp.
    
68. 
    
69. [ Changes to registry ]
    
70.    * Accesses Registry key "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer".
    
71.    * Accesses Registry key "HKCU\Software\Borland\Locales".
    
72.    * Accesses Registry key "HKCU\Software\Borland\Delphi\Locales".
    
73. 
    
74. [ Changes to system settings ]
    
75.    * Creates WindowsHook monitoring call windows procecdures activity.
    
76. 
    
77. [ Signature Scanning ]
    
78.    * C:\WINDOWS\TEMP\bbh1748.tmp (176128 bytes) : Pinfi.A.
    
79. 
    
80. 
    
81. 
    
82. (C) 2004-2006 Norman ASA. All Rights Reserved.
    
83. 
    
84. The material presented is distributed by Norman ASA as an information source only.
    
85. 
    
86. 
    
87. ************************************
    
88. 
    

复制代码

VirSCAN.org Scanned Report :
Scanned time   : 2009/03/11 01:07:00 (CST)
Scanner results: 92%的杀软(34/37)报告发现病毒
File Name      : tlwg.exe
File Size      : 2368994 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 4e531d0ef2102a0f237d77c1b0188527
SHA1           : e7f4bdbdd0be2d761f55c1ccffcbebf5a9485ae1
Online report  : ht tp://virscan.org/report/5c39f7afacc061adedf1f4eb7ec05abe.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.32        20090310233122    2009-03-10  2.89   Virus.Win32.Parite!IK
安博士V3       2009.03.10.01   2009.03.10        2009-03-10  1.11   Win32/Parite
AntiVir        7.9.0.107       7.1.2.149         2009-03-10  1.91   W32/Parite
安天           2.0.18          20090310.2213631  2009-03-10  0.12   -
Authentium     5.1.1           200903100716      2009-03-10  1.08   W32/Parite.B (Possible)
AVAST!         3.0.1           090309-0          2009-03-09  0.08   Win32:Parite
AVG            7.5.52.442      270.11.9/1993     2009-03-10  1.97   -
BitDefender    7.81008.2774267 7.24097           2009-03-10  2.55   Win32.Parite.B
CA (VET)       9.0.0.143       31.6.6389         2009-03-10  3.95   Win32/Pinfi.A virus.
ClamAV         0.94.2          9084              2009-03-10  0.52   W32.Parite.B
Comodo         3.8             1043              2009-03-10  0.56   -
CP Secure      1.1.0.715       2009.03.10        2009-03-10  7.46   W32.Parite.B
Dr.Web         4.44.0.9170     2009.03.10        2009-03-10  4.17   Win32.Parite.2
F-Prot         4.4.4.56        20090309          2009-03-09  1.11   W32/Parite.B
F-Secure       5.51.6100       2009.03.10.05     2009-03-10  0.09   Virus.Win32.Parite.b [AVP]
飞塔           2.81-3.117      10.141            2009-03-10  0.20   W32/Parite.fam
GData          19.3811/19.255  20090310          2009-03-10  3.47   Virus.Win32.Parite.b [Engine:A]
ViRobot        20090310        2009.03.10        2009-03-10  0.64   Win32.Parite.A
Ikarus         T3.1.01.45      2009.03.10.72406  2009-03-10  4.88   Virus.Win32.Parite
江民杀毒       11.0.706        2009.03.10        2009-03-10  1.67   Win32/Parite.b
卡巴斯基       5.5.10          2009.03.10        2009-03-10  0.04   Virus.Win32.Parite.b
金山毒霸       2009.2.5.15     2009.3.10.20      2009-03-10  3.12   Win32.Parite.d.1436
迈克菲         5.3.00          5548              2009-03-09  2.71   W32/Pate.b
Microsoft      1.4405          2009.03.10        2009-03-10  4.46   Virus:Win32/Parite.B
mks_vir        2.01            2009.03.09        2009-03-09  2.74   Trojan.StartP_oy
Norman         6.00.06         6.00.00           2009-03-06  8.01   W32/Pinfi.A
熊猫卫士       9.05.01         2009.03.09        2009-03-09  1.45   W32/Parite.B        
趋势科技       8.700-1004      5.888.03          2009-03-10  0.02   PE_PARITE.A
Quick Heal     10.00           2009.03.10        2009-03-10  1.99   W32.Perite.B
瑞星           20.0            21.20.11.00       2009-03-10  0.94   Win32.Parite.b
Sophos         2.84.1          4.39              2009-03-10  2.04   W32/Parite-B
Sunbelt        5033            5033              2009-03-09  1.19   Win32.Parite.b (v)
赛门铁克       1.3.0.24        20090309.003      2009-03-09  0.12   W32.Pinfi
nProtect       20090310.02     3306867           2009-03-10  3.91   Trojan/W32.Small.4280320
The Hacker     6.3.2.7         v00278            2009-03-10  0.54   W32/Pate.B
VBA32          3.12.10.1       20090309.1748     2009-03-09  1.60   Win32.Parite.B
VirusBuster    4.5.11.10       10.102.5/971643   2009-03-10  2.02   Win32.Parite.B2

文件 tlwg.exe 接收于 2009.03.10 18:09:09 (CET)
结果: 37/39 (94.88%)
ht tp://www.virustotal.com/zh-cn/analisis/81612e84fb74427fe1c4a1cc6d365c22

[ 本帖最后由 小飞侠.net 于 2009-3-11 04:25 编辑 ]

x_3max

这马也太菜了

328397663

放上来..~

小飞侠.net

原帖由 328397663 于 2009-3-11 01:51 发表
放上来..~

哎，游戏中发给我好多次了

幸福的猪猪

下载点上报kaba ！

ledled

Name: Win32.Parite.B
Type: Virus

Description:


Files:
c:\users\administrator\desktop\tlwg.exe

黑衣~魂

DR.WEB
lwg.exe;--------Win32.Parite.2

dayang1717

Parite.b见到这个就害怕，感染类的？

BING126

McAfee kill

小飞侠.net

原帖由 dayang1717 于 2009-3-11 19:33 发表
Parite.b见到这个就害怕，感染类的？

恩，是感染的，比较老了，不知盗号的为什么捆绑它？