上周一截获的,到现在还几乎没人认识.

T-G001

VirSCAN.org Scanned Report :
Scanned time   : 2009/03/14 12:46:41 (CST)
Scanner results: 5%的杀软(2/37)报告发现病毒
File Name      : gdiplus.exe@
File Size      : 15360 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : 9128f0f8db3de966a55cd68e009de8b2
SHA1           : a3e0602a01d4c19feaf7dd95a56b92079cbed83e
Online report  : http://virscan.org/report/47bcf4705a37daf4c80db619c7a14898.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.32        20090313162836    2009-03-13  2.47   -
安博士V3       2009.03.14.00   2009.03.14        2009-03-14  1.08   -
AntiVir        7.9.0.114       7.1.2.171         2009-03-13  1.91   -
安天           2.0.18          20090314.2215997  2009-03-14  0.12   -
Authentium     5.1.1           200903132147      2009-03-13  1.11   -
AVAST!         3.0.1           090313-0          2009-03-13  0.01   -
AVG            7.5.52.442      270.11.13/2000    2009-03-13  1.95   -
BitDefender    7.81008.2791744 7.24170           2009-03-14  2.59   -
CA (VET)       9.0.0.143       31.6.6395         2009-03-13  4.23   -
ClamAV         0.94.2          9106              2009-03-14  0.02   -
Comodo         3.8             1053              2009-03-13  0.52   -
CP Secure      1.1.0.715       2009.03.13        2009-03-13  7.38   -
Dr.Web         4.44.0.9170     2009.03.14        2009-03-14  4.19   -
F-Prot         4.4.4.56        20090313          2009-03-13  1.08   -
F-Secure       5.51.6100       2009.03.13.12     2009-03-13  4.88   -
飞塔           2.81-3.117      10.155            2009-03-13  0.19   -
GData          19.3917/19.260  20090314          2009-03-14  3.51   -
ViRobot        20090313        2009.03.13        2009-03-13  0.47   -
Ikarus         T3.1.01.45      2009.03.14.72424  2009-03-14  4.45   -
江民杀毒       11.0.706        2009.03.13        2009-03-13  1.58   -
卡巴斯基       5.5.10          2009.03.14        2009-03-14  0.10   -
金山毒霸       2009.2.5.15     2009.3.13.20      2009-03-13  0.80   -
迈克菲         5.3.00          5552              2009-03-13  2.72   -
Microsoft      1.4405          2009.03.14        2009-03-14  5.08   -
mks_vir        2.01            2009.03.13        2009-03-13  2.69   -
Norman         6.00.06         6.00.00           2009-03-13  8.01   -
熊猫卫士       9.05.01         2009.03.13        2009-03-13  1.68   -
趋势科技       8.700-1004      5.896.21          2009-03-13  0.04   -
Quick Heal     10.00           2009.03.13        2009-03-13  0.95   Suspicious - DNAScan
瑞星           20.0            21.20.42.00       2009-03-13  0.88   -
Sophos         2.84.1          4.39              2009-03-14  2.21   -
Sunbelt        5040            5040              2009-03-13  3.38   -
赛门铁克       1.3.0.24        20090313.007      2009-03-13  0.18   -
nProtect       20090313.03     3321885           2009-03-13  4.00   -
The Hacker     6.3.2.7         v00281            2009-03-13  0.58   -
VBA32          3.12.10.1       20090313.1825     2009-03-13  1.72   Trojan-Downloader.Win32.Adload.bsm
VirusBuster    4.5.11.10       10.102.9/977108   2009-03-13  1.98   -

为了让那家打印店少害点人,还是决定上报,麻烦各位了哈

江民应该在明天升级查杀.

黑衣~魂

TO-DW

llydmissile

To McAfee

jason_jiang

Sent to ESET and Micropoint

Palkia

rs 0

wrq

红伞过 上报

Sebastian

pagefile.sys
TR/Dropper.Gen

ledled

All to VB

smallyou93

1. 回收站.exe、gdiplus.exe（MD5一样）

复制代码

释放文件如下

%systemroot%\system32\windowupdata.log
%program files%\Windows Media Player\wmpnetwk.exe
%ALLUSERPROFILE%\「开始」菜单\程序\启动\Windows AutoUpdate.lnk

添加启动项，实现开机启动的目的

%systemroot%\system32\windowupdata.log
U盘病毒\pagefile.sys
把后缀改为exe后
MD5值基本和%program files%\Windows Media Player\wmpnetwk.exe无疑

重启后

wmpnetwk.exe释放多个文件：

%program files%\Windows Media Player\Mediaplayer.exe
%program files%\Windows Media Player\update.exe
%systemroot%\system32\nwzi.exe
%systemroot%\system32\nvcolor.exe MD5与wmpnetwk.exe相同

%program files%\Windows Media Player\Mediaplayer.exe
%program files%\Windows Media Player\update.exe
冒充360图标，MD5相同

[ 本帖最后由 smallyou93 于 2009-3-14 14:48 编辑 ]

wcj20236

微点杀。。