请大家鉴定是否是病毒

显示全部楼层 · 发表于 2009-7-3 11:53:33

同学Q上传来，可疑，AVG、MSE扫无发现。请大家检测一下。

显示全部楼层 · 发表于 2009-7-3 11:55:18

KILL
a virus or unwanted program 'TR/Dropper.Gen' [trojan] was found.

显示全部楼层 · 发表于 2009-7-3 11:56:01

G:\virus\PS了一个晚上的照片.rar/1.exe detected: Gen.Trojan!IK

显示全部楼层 · 发表于 2009-7-3 12:00:31

文件 PS________________________.rar 接收于 2009.07.03 04:01:48 (UTC)
反病毒引擎版本最后更新扫描结果
a-squared 4.5.0.18 2009.07.03 -
AhnLab-V3 5.0.0.2 2009.07.02 -
AntiVir 7.9.0.204 2009.07.02 DR/Gena.A
Antiy-AVL 2.0.3.1 2009.07.02 -
Authentium 5.1.2.4 2009.07.02 -
Avast 4.8.1335.0 2009.07.02 -
AVG 8.5.0.386 2009.07.02 -
BitDefender 7.2 2009.07.03 Gen:Trojan.Heur.GM.1540850120
CAT-QuickHeal 10.00 2009.07.02 -
ClamAV 0.94.1 2009.07.02 -
Comodo 1538 2009.07.02 -
DrWeb 5.0.0.12182 2009.07.03 BackDoor.Pigeon.23646
eSafe 7.0.17.0 2009.07.02 -
eTrust-Vet 31.6.6593 2009.07.02 -
F-Prot 4.4.4.56 2009.07.02 -
F-Secure 8.0.14470.0 2009.07.03 -
Fortinet 3.117.0.0 2009.07.03 -
GData 19 2009.07.03 Gen:Trojan.Heur.GM.1540850120
Ikarus T3.1.1.64.0 2009.07.03 Gen.Trojan
Jiangmin 11.0.706 2009.07.02 -
K7AntiVirus 7.10.782 2009.07.02 -
Kaspersky 7.0.0.125 2009.07.03 -
McAfee 5664 2009.07.02 New Malware.ix
McAfee+Artemis 5664 2009.07.02 New Malware.ix
McAfee-GW-Edition 6.8.5 2009.07.03 Trojan.Dropper.Gen
Microsoft 1.4803 2009.07.02 -
NOD32 4211 2009.07.02 -
Norman 6.01.09 2009.07.02 W32/Obfuscated.A!genr
nProtect 2009.1.8.0 2009.07.02 -
Panda 10.0.0.14 2009.07.02 -
PCTools 4.4.2.0 2009.07.02 -
Prevx 3.0 2009.07.03 -
Rising 21.36.34.00 2009.07.02 -
Sophos 4.43.0 2009.07.03 -
Sunbelt 3.2.1858.2 2009.07.02 VIPRE.Suspicious
Symantec 1.4.4.12 2009.07.03 Suspicious.Graybird.1
TheHacker 6.3.4.3.360 2009.07.03 -
TrendMicro 8.950.0.1094 2009.07.02 Cryp_Xin1
VBA32 3.12.10.7 2009.07.03 -
ViRobot 2009.7.2.1816 2009.07.02 -
VirusBuster 4.6.5.0 2009.07.02 -
附加信息
File size: 474261 bytes
MD5...: 851f7ae185a84edbbbe49b4a6fb35e2e
SHA1..: 65c9fd384a77300b2db230e77c9159ee07459f10
SHA256: 7397c622051aa48bdd97d3462fc7e97c2f94f9c767f862fa7ecfe4d26cd52f2d
ssdeep: 12288:hCDS9b/8TaskVRK7+Eu4CTCBxyLg3d3K7/ZX22Z:h8S9oasWxEuYb7io2Z<br>
PEiD..: -
TrID..: File type identification<br>RAR Archive (83.3%)<br>REALbasic Project (16.6%)
PEInfo: -
PDFiD.: -
RDS...: NSRL Reference Data Set<br>-
packers (F-Prot): RAR

显示全部楼层 · 发表于 2009-7-3 12:00:52

费尔在线扫描它是一个木马

显示全部楼层 · 发表于 2009-7-3 12:01:15

http://camas.comodo.com/cgi-bin/ ... 6ac5749150c2a1b6479
毛豆在线分析.我认为可疑.[外行人...哈哈]

显示全部楼层 · 发表于 2009-7-3 12:02:30

幸好没被好奇心驱动下打开。。

显示全部楼层 · 发表于 2009-7-3 12:05:41

百分之百的病毒
运行后生成1.exe，1.exe再生成config.exe并且加载服务，通过config.exe启动svchost.exe,同时写入svchost.exe虚拟内存

显示全部楼层 · 发表于 2009-7-3 13:38:55

2009-07-03 13:37:58 C:\Documents and Settings\Administrator\桌面\PS了一个晚上的照片.rar>>4553-6351-321-351-6516-313651-35131-6351651-32131-+321351-31351-3131-351654-31351-3131-31-351351-351351-35151-35153-35131-3131-315631-31351+r+j.exe>>1.exe, Backdoor.Win32.Agent.tbg, 成功删除

显示全部楼层 · 发表于 2009-7-3 13:42:59

2009-07-03 13:40:17 应用程序保护(运行应用程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\4553-6351-321-351-6516-313651-35131-6351651-32131-+321351-31351-3131-351654-31351-3131-31-351351-351351-35151-35153-35131-3131-315631-31351+r+j.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\RarSFX0\2.jpg

2009-07-03 13:40:18 应用程序保护(运行应用程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\4553-6351-321-351-6516-313651-35131-6351651-32131-+321351-31351-3131-351654-31351-3131-31-351351-351351-35151-35153-35131-3131-315631-31351+r+j.exe
文件路径:C:\WINDOWS\system32\rundll32.exe
命令行:C:\WINDOWS\system32\shimgvw.dll,ImageView_Fullscreen C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\RarSFX0\2.jpg

2009-07-03 13:40:20 应用程序保护(运行应用程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\4553-6351-321-351-6516-313651-35131-6351651-32131-+321351-31351-3131-351654-31351-3131-31-351351-351351-35151-35153-35131-3131-315631-31351+r+j.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX0\1.exe

2009-07-03 13:40:22 应用程序保护(运行应用程序)    操作:阻止
进程路径:C:\Documents and Settings\Administrator\桌面\4553-6351-321-351-6516-313651-35131-6351651-32131-+321351-31351-3131-351654-31351-3131-31-351351-351351-35151-35153-35131-3131-315631-31351+r+j.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temp\RarSFX0\1.exe

[可疑文件] 请大家鉴定是否是病毒

本帖子中包含更多资源