抓到了一个假冒QQ小喇叭通知弹出中奖消息的木马

wangchoubo

好几天没上网了。
刚刚连上网登录QQ，就有小喇叭不停地闪，
点开后提示中奖，是腾讯十周年庆典之周年挖宝活动二等奖，
我明知有假，还是打开了上面的链接，
打开的链接是www.qqm2009.cn，
然后就上网搜索，果然是骗人的网页。

那么那个小喇叭伪装是怎么回事？
仔细看那小喇叭跟腾讯的小喇叭还是有区别的，
于是用任务管理器查看进程，多了个smpain.exe的进程，
开EQ，用它的进程管理器查看，
smpain.exe是子进程，在D盘根目录下，父进程为smpahdrs.exe，在c:\windows\temp\里面，
子进程属性隐藏，删除后没有了，
只抓到了父进程，
现在押送上来！

[ 本帖最后由 wangchoubo 于 2009-4-29 20:47 编辑 ]

wangchoubo

VirSCAN.org Scanned Report :
Scanned time   : 2009/04/29 20:18:18 (CST)
Scanner results: 39%的杀软(15/38)报告发现病毒
File Name      : smpahdrs.rar
File Size      : 53102 byte
File Type      : RAR archive data, v1d, os
MD5            : 6644b849b26e7ad3ebce6a81aecc21e8
SHA1           : 5eba98fe6fb7ab740c0e3b6dbac2b9627f77473e
Online report  : http://virscan.org/report/667200ffa6c359cfd8b815c5dff7bc73.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.0.0.32        20090429030321    2009-04-29  10.60  -
安博士V3       2009.04.29.02   2009.04.29        2009-04-29  15.62  -
AntiVir        7.9.0.156       7.1.3.126         2009-04-29  2.00   TR/Crypt.FKM.Gen
安天           2.0.18          20090429.2323178  2009-04-29  0.12   -
Arcavir        2009            200904281820      2009-04-28  0.04   -
Authentium     5.1.1           200904271910      2009-04-27  1.14   -
AVAST!         3.0.1           090428-0          2009-04-28  0.01   Win32:Trojan-gen {Other}
AVG            7.5.52.442      270.12.8/2086     2009-04-29  2.05   Agent2.FID
BitDefender    7.81008.2850663 7.25079           2009-04-29  2.68   Gen:Trojan.Heur.3065153434
CA (VET)       9.0.0.143       31.6.6480         2009-04-29  37.96  -
ClamAV         0.95            9301              2009-04-29  0.07   -
Comodo         3.8             1141              2009-04-29  1.93   TrojWare.Win32.PSW.QQPass.~XD
CP Secure      1.1.0.715       2009.04.29        2009-04-29  8.73   -
Dr.Web         4.44.0.9170     2009.04.29        2009-04-29  4.56   BACKDOOR.Trojan
F-Prot         4.4.4.56        20090427          2009-04-27  1.18   -
F-Secure       5.51.6100       2009.04.29.02     2009-04-29  1.74   Trojan.Win32.Agent.cczu [AVP]
飞塔           2.81-3.117      10.333            2009-04-29  0.72   -
GData          19.4929/19.313  20090429          2009-04-29  11.21  Trojan.Win32.Agent.cczu [Engine:A]
ViRobot        20090429        2009.04.29        2009-04-29  1.34   -
Ikarus         T3.1.01.49      2009.04.29.72647  2009-04-29  3.40   -
江民杀毒       11.0.706        2009.04.29        2009-04-29  9.83   Trojan/Agent.chxa
卡巴斯基       5.5.10          2009.04.29        2009-04-29  0.09   Trojan.Win32.Agent.cczu
金山毒霸       2009.2.5.15     2009.4.29.18      2009-04-29  3.33   Win32.Troj.AgentVB.167973
迈克菲         5.3.00          5599              2009-04-28  2.97   -
Microsoft      1.4602          2009.04.29        2009-04-29  21.92  Trojan:Win32/VB.OJ
mks_vir        2.01            2009.04.29        2009-04-29  2.77   -
Norman         6.00.06         6.00.00           2009-04-28  10.01  -
熊猫卫士       9.05.01         2009.04.28        2009-04-28  34.13  -
趋势科技       8.700-1004      5.996.03          2009-04-28  0.08   -
Quick Heal     10.00           2009.04.29        2009-04-29  1.26   -
瑞星           20.0            21.27.22.00       2009-04-29  7.08   Trojan.Win32.QQFish.dr
Sophos         2.85.0          4.40              2009-04-29  2.57   Mal/Behav-160
Sunbelt        5112            5112              2009-04-27  3.65   -
赛门铁克       1.3.0.24        20090428.003      2009-04-28  2.41   Trojan Horse
nProtect       20090429.02     3507166           2009-04-29  40.12  -
The Hacker     6.3.4.1         v00317            2009-04-29  1.27   -
VBA32          3.12.10.3       20090428.1642     2009-04-28  2.04   -
VirusBuster    4.5.11.10       10.105.9/1307469  2009-04-28  3.47   -

hddu

2009-04-29 20:44:53    修改文件      操作:阻止
进程路径:E:\smpahdrs\smpahdrs.exe
文件路径:E:\smpahdrs\smpahdrs.EXE
触发规则:所有程序规则->全局设置->E:\*.exe
2009-04-29 20:44:53    修改文件      操作:阻止
进程路径:E:\smpahdrs\smpahdrs.exe
文件路径:E:\smpahdrs\smpahdrs.EXE
触发规则:所有程序规则->全局设置->E:\*.exe
2009-04-29 20:44:53    修改文件      操作:阻止
进程路径:E:\smpahdrs\smpahdrs.exe
文件路径:E:\smpahdrs\smpahdrs.EXE
触发规则:所有程序规则->全局设置->E:\*.exe
2009-04-29 20:44:53    创建文件      操作:阻止并结束进程
进程路径:E:\smpahdrs\smpahdrs.exe
文件路径:D:\mspaint.exe
触发规则:所有程序规则->全局设置->D:\*.exe



[ 本帖最后由 hddu 于 2009-4-29 20:44 编辑 ]

wangchoubo

主流杀软都报了

wangchoubo

电脑刚开始没上网，为了运行cmd把eq关了，没想到这玩意就乘虚而入

左手

2009-04-29 21:13:09    创建文件      操作:阻止并结束进程
进程路径:E:\virus\smpahdrs.exe
文件路径:C:\WINDOWS\~DF571E.tmp
触发规则:应用程序规则->A04…常见修改程序组->*.*->%windir%\*

BING126

to McAfee

kingmuro

Trojan/Agent.chxa

HKLHF

TO PCT

zdd807

NOD32
C:\Documents and Settings\Administrator\桌面\smpahdrs.rar > RAR > smpahdrs.exe - Win32/VB.NZV 特洛伊木马