(增加衍生物)Trojan.KillAV样本一个，过Nod32

chinajl

在某论坛看到一强淫上H网的悲惨遭遇，此君用的是NOD32。下面引用其叙述：

【现在的木马真厉害，一分钟干掉nod32 4.0】刚才手贱，看见一sex网站有在线更新程序。
点击下载http://bbs.9277.cc/url_bbs.exe    然后nod出现什么信道冲突。
感觉大事不妙，赶紧拽网线，nod已经被干掉，马上安装卡巴，重启，
杀了一部分木马，此时机器一半的exe文件已经被干掉，
没办法，用光盘ghost，然后继续安装卡巴 升级，扫描，现在还在全盘扫描中，郁闷啊 ，
我几年辛苦收集的exe都毁在nod手里，我装的是官方441，
装nod32 有兴趣试试的同学试着下载http://bbs.9277.cc/url_bbs.exe

绝非广告、非卡巴枪手，只是给论坛友友提个醒，唉！

本人下载 url_bbs.exe，分别手动调用NIS2009和Comodo扫描，无果。
上传到Comodo的行为分析网站，一直刷新页面没有结果？
上传到VT，Symantec发现病毒？结果页：http://www.virustotal.com/zh-cn/analisis/653701ebfb3f86a3ab9cc856db14bba48a92e25e1fb3749832b1fdbcb70aa11c-1248783704

于是在虚拟机加载Sandboxie，截获病毒释放出来的.dll和.bat。NIS扫描发现病毒，Comodo没有发现。
所有文件下面打包上传。

结果不能说明NOD32不好，分享个人的看法：应该做到墙在心中，不要迷信有神器可以秒杀所有病毒。

[ 本帖最后由 chinajl 于 2009-7-29 21:24 编辑 ]

xyao

2009-7-28 22:17:55    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\url_bbs.virus\url_bbs.exe"
规则: [应用程序]*

2009-7-28 22:17:58    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:17:59    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:00    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:01    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:02    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:03    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:03    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\appmgmts.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:04    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\qmgr.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:05    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\mspmsnsv.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:06    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\xmlprov.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:08    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: COM+ Event System
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:09    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\upnphost.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:10    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: SSDP Discovery Service
文件路径: C:\WINDOWS\system32\svchost.exe -k LocalService
规则: [应用程序]*

2009-7-28 22:18:11    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Network Connections
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:12    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Network Location Awareness (NLA)
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:14    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Telephony
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:15    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Themes
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:16    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Cryptographic Services
文件路径: C:\WINDOWS\system32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:17    修改文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\WINDOWS\system32\regsvc.dll
规则: [文件组]特殊目录 -> [文件]c:\windows\system32

2009-7-28 22:18:18    停止驱动程序或服务    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: Task Scheduler
文件路径: C:\WINDOWS\System32\svchost.exe -k netsvcs
规则: [应用程序]*

2009-7-28 22:18:26    创建文件    阻止
进程: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\TempDel.bat
规则: [文件组]document阻止 -> [文件]c:\documents and settings\administrator\local settings\temp; *.bat

尤金卡巴斯基

2009/7/28 22:18:07        已清除        木马程序 Trojan-Downloader.Win32.Agent.ckkv        G:\Temp\Virus\url_bbs.virus.rar/url_bbs.exe               
Miss 1,To KL

chinajl

原帖由 xyao 于 2009-7-28 22:18 发表
2009-7-28 22:17:55    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\my documents\url_bbs.virus\url_bbs.exe
命令行: "C:\Documents and Settings\Admini ...

EQ的日志？


在SandBoxie下怎么没有那么勇猛？

xyao

MD的日志，沙盘里很多动作是看不到的

黑衣~魂

to dw

fatezero

网址过滤...

z2665

2009/7/28        22:44:14        未采取操作         z2665        ODS        C:\Users\z2665\Desktop\url_bbs.virus.rar\APPMGMTS.DLL\APPMGMTS.DLL        Generic Malware.al!enc (特洛伊)
2009/7/28        22:44:14        未采取操作         z2665        ODS        C:\Users\z2665\Desktop\url_bbs.virus.rar\APPMGMTS.DLL\APPMGMTS.DLL        Generic Malware.al!enc (特洛伊)
2009/7/28        22:44:15        未采取操作         z2665        ODS        C:\Users\z2665\Desktop\url_bbs.virus.rar\URL_BBS.EXE\00001470.EXE\00001470.EXE        Generic Malware.al!enc (特洛伊)

chinajl

原帖由 xyao 于 2009-7-28 22:36 发表
MD的日志，沙盘里很多动作是看不到的

哦，不知道EQ能否做到类似的效果，需要怎样设置？




太失败了，第一次用罐罐装病毒才装了一点。

xyao

原帖由 chinajl 于 2009-7-28 22:45 发表


哦，不知道EQ能否做到类似的效果，需要怎样设置？




太失败了，第一次用罐罐装病毒才装了一点。

可能就是生成一个随机文件名的DLL文件，因为被阻止了就更换随机名另外生成一个，所以看上去好像生成了很多DLL文件，EQ肯定可以拦截的，只要规则严密一点。