(增加衍生物)Trojan.KillAV样本一个，过Nod32

uujj

VirSCAN.org Scanned Report :
Scanned time   : 2009/07/29 14:53:48 (CST)
Scanner results: 57%的杀软(21/37)报告发现病毒
File Name      : url_bbs.virus.rar
File Size      : 26997 byte
File Type      : RAR archive data, v1d, os
MD5            : 792a60cdfdd498f4bacda7728d1c0f23
SHA1           : bbcd47f0f7ed3df40b112ce930c0df52ab186469
Online report  : http://virscan.org/report/17b83c884d2def95b33c98d45601298a.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.3         20090728220216    2009-07-28  0.37   Trojan.Win32.KillAV!IK
安博士V3       2009.07.28.02   2009.07.28        2009-07-28  1.61   Win-Trojan/Killav.15360.J
AntiVir        8.2.0.234       7.1.5.41          2009-07-28  0.35   RKIT/Agent.nop
安天           2.0.18          20090728.2650168  2009-07-28  0.22   -
Arcavir        2009            200907281732      2009-07-28  0.09   Downloader.Agent.Ckkv
Authentium     5.1.1           200907281853      2009-07-28  1.19   -
AVAST!         4.7.4           090728-0          2009-07-28  0.01   Win32:Trojan-gen {Other}
AVG            8.5.288         270.13.35/2269    2009-07-29  0.37   Downloader.Agent2.GPI
BitDefender    7.81008.3869287 7.26865           2009-07-29  3.36   Generic.Malware.P!.217A4D44
CA (VET)       9.0.0.143       31.6.6642         2009-07-28  6.62   Win32/KillAV.KW trojan.
ClamAV         0.95.2          9627              2009-07-29  0.04   -
Comodo         3.10            1800              2009-07-29  0.71   -
CP Secure      1.1.0.715       2009.07.28        2009-07-28  11.50  -
Dr.Web         4.44.0.9170     2009.07.28        2009-07-28  5.04   -
F-Prot         4.4.4.56        20090728          2009-07-28  1.19   -
F-Secure       7.02.73807      2009.07.24.08     2009-07-24  0.24   Trojan-Downloader.Win32.Agent.ckkv [AVP]
飞塔           2.81-3.120      10.656            2009-07-28  0.32   W32/Agent.CKKV!tr.dldr
GData          19.6758/19.416  20090729          2009-07-29  3.65   Trojan-Downloader.Win32.Agent.ckkv [Engine:A]
ViRobot        20090728        2009.07.28        2009-07-28  0.42   -
Ikarus         T3.1.01.64      2009.07.29.73121  2009-07-29  3.89   Trojan.Win32.KillAV
江民杀毒       11.0.800        2009.07.28        2009-07-28  4.04   -
卡巴斯基       5.5.10          2009.07.29        2009-07-29  0.17   Trojan-Downloader.Win32.Agent.ckkv
金山毒霸       2009.2.5.15     2009.7.29.7       2009-07-29  0.47   Win32.Troj.Undef.40960
迈克菲         5.3.00          5691              2009-07-28  3.14   Generic Malware.al!enc
Microsoft      1.4903          2009.07.29        2009-07-29  12.02  Trojan:Win32/Killav.DK
Norman         6.01.09         6.01.00           2009-07-28  4.01   -
熊猫卫士       9.05.01         2009.07.28        2009-07-28  1.83   -
趋势科技       8.700-1004      6.326.07          2009-07-28  0.17   -
Quick Heal     10.00           2009.07.28        2009-07-28  1.05   -
瑞星           20.0            21.40.20.00       2009-07-29  0.96   Trojan.DL.Win32.KillAV.u
Sophos         2.88.0          4.43              2009-07-29  3.12   Mal/Behav-112
Sunbelt        5295            5295              2009-07-28  1.18   Bulk Trojan
赛门铁克       1.3.0.24        20090728.007      2009-07-28  0.26   Trojan.KillAV
nProtect       20090728.01     4951926           2009-07-28  6.47   -
The Hacker     6.3.4.3         v00377            2009-07-28  0.75   -
VBA32          3.12.10.9       20090728.1507     2009-07-28  2.01   Win32.Trojan.Downloader (http://...) (suspicious)
VirusBuster    4.5.11.10       10.109.15/1826006 2009-07-28  2.29   -

冷冷

原帖由 xyao 于 2009-7-28 22:52 发表


可能就是生成一个随机文件名的DLL文件，因为被阻止了就更换随机名另外生成一个，所以看上去好像生成了很多DLL文件，EQ肯定可以拦截的，只要规则严密一点。

00000C6C   0040226C      0   %s\%s
00000C80   00402280      0   dllcache
00000C8C   0040228C      0   \dllcache\
00000C98   00402298      0   TempDel.bat
00000CA4   004022A4      0   :runagain
00000CAF   004022AF      0   del "%s"
00000CB9   004022B9      0   if exist "%s" goto runagain
00000CD6   004022D6      0   del "%s"

darreol

趋势又杀了，趋势能力大升

尤金卡巴斯基

入库
2009/7/29 17:01:48        已清除        病毒 Rootkit.Win32.Agent.nop        G:\Temp\Virus\url_bbs.virus.rar/sandbox\drive\C\WINDOWS\system32\dllcache\appmgmts.dll//#

onlyboy

红伞拒绝下载。
我就不测试了。。。

angir

To MP

chinajl

这个病毒不是这样简单。只要能够连接网络，它就会灵魂附体，它不再是一个病毒在战斗。

在虚拟机让NIS2009（原始数据库）跟病毒搏斗后，截获一堆病毒。

haol

avast found Win32:Trojan-gen {Other}

這是downloader(有映像挟持)
本身生成物
C:\WINDOWS\system32\drivers\klan.sys
C:\WINDOWS\system32\appmgmts.dll
C:\WINDOWS\system32\dllcache\appmgmts.dll

chinajl

补充病毒在虚拟机下的衍生物。

lingbo110120

生成物 费尔清空