21个

qianwenxiang

昨天抓的 都是同类 外带稀里糊涂搞出来的分析……某些部分有点主观臆测了……

程序先使用GetTempPathA、GetSystemDirectoryA来获得临时文件路径、系统目录路径，并为后续操作做准备。
然后程序使用GetCommandLineA获取命令行，如果命令行是-Update则
依次访问如下URL（URL上面一行为程序中作者的解释）：
ConfigURL
Stack ss:[0012FF88]=01080A04, (ASCII "http://www.qin58.cn/down444.txt")

StatCountURL
Stack ss:[0012FF7C]=01082048, (ASCII "http://www.qin58.cn/count.asp")

ExeCountURL
Stack ss:[0012FF74]=01082180, (ASCII "http://www.qin58.cn/execount.asp")

ExistsCountURL
Stack ss:[0012FF6C]=0108228C, (ASCII "http://www.qin58.cn/Being.asp")

ResetCountURL
Stack ss:[0012FF64]=01082424, (ASCII "http://www.qin58.cn/active.asp")

配置文件包含以下数据

<Config DelayTimer="180" CheckTimer="1" ExeCount="1" ResetCount="1"></Config>
<UpdateURL Ver="20090315" Sleep="1000">http://www.qin58.cn/user/down/1011.exe&lt;/UpdateURL>
<CountURL Switch="1"></CountURL>
<File1 Run="0" Max="1" Sleep="0" NoExists="%Temp%\qin581" Name="qin581" ExeVer="22" UserID="">http://www.qin58.cn/hosts.txt&lt;/File1>
<File2 Run="1" Max="99" Sleep="0" NoExists="" Name="qin58" ExeVer="9" UserID="">http://www.qin58.cn/qin58.htm&lt;/File2>

第一行Config的数据，程序将在后面的配置中逐条匹配，第二行显示的是最新版本和下载地址以及休眠时间
第四行是恶意HOSTS的地址，程序会用下列数据（截取有效部分）覆盖系统HOST：

208.43.166.150       www.qq.com
208.43.166.150       qq.com

这样，每当打开qq.com就会自动指向208.43.166.150。而这个IP指向的网页是一个欺骗网页，他会欺骗用户说腾讯的活动，用户中奖了，将会指引用户访问：hxp://www.qqitq.cn/，并骗取所谓的“扣税”和“运输费”。

第五行是一个PE文件，是由VB编写的一个木马。

然后程序将使用以下信息检测ID
CheckID: cmdjiami
UserID: 1019 *=exe名

使用FileCopyA函数复制自己到C:\WINDOWS\system32\qin58.exe，并创建recordini.ini，C:\WINDOWS\Temp\~xnnvi.dat，C:\WINDOWS\system32\qin58.ini，C:\WINDOWS\ResetTest.txt。

下载的文件，程序将保存到：C:\WINDOWS\Temp\~qin58.exe.Update，并且创建一个C:\WINDOWS\Temp\~qin58.exe.bak!防止更新失败。

然后程序将载入一些加密数据，例如
0040A413    B8 18CC4000     mov     eax, 0040CC18                   ; ASCII "qg|cpgfIWppe;flf"
根据代码容易知道他的Xor Key是 21d(15h)。
即“drivers\beep.sys”

他会试图覆盖beep.sys并释放驱动恢复ssdt。

然后他使用SetFileAttributesA函数设置qin58.exe属性为HIDDEN+SYSTEM，接着以-Start为参数启动qin58.exe，qin58.exe启动后会注入dllhost.exe并试图下载上文提及到的pe文件。

最后程序创建启动项qin58.exe指向system32\qin58.exe

并执行如下命令删除原始文件
"cmd /c erase /F /A ""[SAMPLE]"" > nul"

Sebastian

清空
Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'D:\new\new'
D:\new\new\1001_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f7615b.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1002_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4880c7b4.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1003_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f7615d.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1004_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4880c7b6.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1005_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f7615f.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1006_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4880c788.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1007_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f7615c.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1008_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4880c7b5.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1009_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f7615e.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1010_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f8615c.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1011_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 488fc7b5.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1012_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f8615e.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1013_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 488fc7b7.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1014_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f86150.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1015_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 488fc7b9.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1016_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f86152.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1017_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 488fc7bb.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1018_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f8615d.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1019_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 488fc7b6.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\1020_0.exe
    [FUND]      Ist das Trojanische Pferd TR/Spy.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 49f9615d.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.
D:\new\new\qin58.exe
    [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Backdoor.Gen
    [HINWEIS]   Eine Sicherungskopie wurde unter dem Namen 4a356196.qua erstellt ( QUARANTÄNE )
    [HINWEIS]   Die Datei wurde gelöscht.


Ende des Suchlaufs: 2009年3月23日  18:15
Benötigte Zeit: 00:01 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      1 Verzeichnisse wurden überprüft
     21 Dateien wurden geprüft
     21 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
     21 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
     21 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
      0 Dateien ohne Befall
      0 Archive wurden durchsucht
      0 Warnungen
     21 Hinweise

揍敌客

ik miss 1

ledled

ALL to VB

黑衣~魂

DR.WEB MISS 1-TO

Palkia

瑞星
Trojan.Win32.Syshijack.f   X20

VBCode.hk   X1

darreol

我怀疑只是F-Secure AVP起作用



扫描报告2009年3月23日 19:24:40 - 19:24:43计算机名称: SAMSUNG-PC
扫描类型: 扫描目标
目标: C:\Users\samsung\Desktop\vv21.rar
结果: 找到 20 恶意软件Trojan.Win32.Agent2.get (病毒)

• C:\Users\samsung\Desktop\vv21.rar\1001_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1002_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1003_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1004_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1005_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1006_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1007_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1008_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1009_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1010_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1011_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1012_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1013_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1014_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1015_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1016_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1017_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1018_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1019_0.exe
• C:\Users\samsung\Desktop\vv21.rar\1020_0.exe

统计信息已扫描:

• 文件: 22
• 未扫描: 0

结果:

• 病毒: 20
• 间谍软件: 0
• 可疑项目: 0
• 危险软件: 0

操作:

• 已杀毒: 0
• 已重命名: 0
• 删除: 0
• 已隔离: 0
• 失败: 0

启动扇区:

• 已扫描: 0
• 受感染: 0
• 可疑项目: 0
• 已杀毒: 0

选项定义版本:

• 病毒: 2009-03-23_03
• 间谍软件: 2009-03-23_03

扫描引擎:

• F-Secure AVP: 7.00.171, 2009-03-23
• F-Secure Hydra: 3.08.9080, 2009-03-20

扫描选项:

• 扫描定义的文件: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ANI AVB BAT CEO CMD JOB JPG LSP MAP MHT MIF PHP POT SWF WMF NWS TAR TGZ ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2 HQX
• 扫描内部存档

操作:

• 病毒: 扫描后询问
• 间谍软件: 扫描后询问

版权 © 1998-2008 产品支持 | 发送病毒样本到 F-Secure对于 F-Secure 万维网页面上所链接的由第三方创建和发布的材料， F-Secure 不承担任何责任。除非已通过电子邮件或 F-Secure CGI 电子邮件向任一台服务器提交材料以清楚说明情况， 除非您明确表示(如使用电子邮件或通过我们的 F-Secure CGI 电子邮件)，通过 F-Secure 万维网页或硬拷贝发布已有的材料。 单击带下划线的链接，可访问 F-Secure 公共网站。此时，系统会在专用访问统计信息中用域名记录您的访问。此信息不会提供给任何第三方。您同意不针对所提交的材料向我们提出诉讼。除非您已明确说明，否则应提交材料以保证 F-Secure 针对可能在 F-Secure 产品/出版物中采用的概念，不承担任何责任。 

[ 本帖最后由 darreol 于 2009-3-23 19:26 编辑 ]

linqing

反病毒引擎 版本 最后更新 扫描结果 a-squared 4.0.0.101 2009.03.23 Trojan-Dropper.Delf!IK AhnLab-V3 5.0.0.2 2009.03.23 Win-Trojan/Hupigon.Gen AntiVir 7.9.0.120 2009.03.23 TR/Spy.Gen Authentium 5.1.2.4 2009.03.23 W32/Agent.S.gen!Eldorado Avast 4.8.1335.0 2009.03.23 AVG 8.5.0.283 2009.03.23 Dropper.Generic.AJSW BitDefender 7.2 2009.03.23 Generic.Malware.SFdldspg.AC788A3D CAT-QuickHeal 10.00 2009.03.23 ClamAV 0.94.1 2009.03.23 Comodo 1080 2009.03.22 DrWeb 4.44.0.09170 2009.03.23 DLOADER.Trojan eSafe 7.0.17.0 2009.03.19 Suspicious File eTrust-Vet 31.6.6412 2009.03.23 F-Prot 4.4.4.56 2009.03.23 W32/Agent.S.gen!Eldorado F-Secure 8.0.14470.0 2009.03.23 Trojan.Win32.Agent2.get Fortinet 3.117.0.0 2009.03.23 PossibleThreat GData 19 2009.03.23 Generic.Malware.SFdldspg.AC788A3D Ikarus T3.1.1.48.0 2009.03.23 Trojan-Dropper.Delf K7AntiVirus 7.10.678 2009.03.21 Trojan.Win32.Malware.1 Kaspersky 7.0.0.125 2009.03.23 Trojan.Win32.Agent2.get McAfee 5561 2009.03.22 McAfee+Artemis 5561 2009.03.22 Generic!Artemis McAfee-GW-Edition 6.7.6 2009.03.23 Trojan.Spy.Gen Microsoft 1.4502 2009.03.23 Trojan:Win32/SystemHijack.gen NOD32 3953 2009.03.21 a variant of Win32/Injector.DY Norman 6.00.06 2009.03.20 nProtect 2009.1.8.0 2009.03.23 Panda 10.0.0.10 2009.03.22 Trj/CI.A Prevx1 V2 2009.03.23 Rising 21.22.02.00 2009.03.23 Trojan.Win32.SysHijack.f Sophos 4.39.0 2009.03.23 Mal/Behav-024 Sunbelt 3.2.1858.2 2009.03.22 Backdoor.Backdoor.Gen Symantec 1.4.4.12 2009.03.23 TheHacker 6.3.3.4.287 2009.03.23 TrendMicro 8.700.0.1004 2009.03.23 PAK_Generic.001 VBA32 3.12.10.1 2009.03.23 MalwareScope.Trojan-PSW.Game.7 ViRobot 2009.3.23.1659 2009.03.23 VirusBuster 4.6.5.0 2009.03.22

kingmuro

文件或对象名称 病毒名称 最终处理状态
E:\My Documents\桌面\test\vv21\1001_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1002_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1003_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1004_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1005_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1006_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1007_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1008_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1009_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1010_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1011_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1012_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1013_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1014_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1015_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1016_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1017_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1018_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1019_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区
E:\My Documents\桌面\test\vv21\1020_0.exe Generic.Malware.SFdldspg.AC788A3D 已移动至隔离区

BING126

McAfee miss