样本

魔狼军团

一个样本，过主流杀毒软件，在线扫描没有发现，但肯定是病毒

黑衣~魂

沙發!
TO DW

悠柚

to iobit

王子带着刀

看样本名有点嚼头

过NOD32   红伞 卡巴09  A2

[ 本帖最后由 王子带着刀 于 2009-8-2 22:55 编辑 ]

lingbo110120

[ 本帖最后由 lingbo110120 于 2009-8-3 18:45 编辑 ]

黑衣~魂

小動作很多Start Page-ttp://www.41197.com/sfi.asp
應該是TROJAN類型

其實撰寫手法跟這個一樣
http://bbs.kafan.cn/thread-530337-1-1.html

VT只有

McAfee-GW-Edition

6.8.5

2009.08.02

Heuristic.LooksLike.Heuristic.BehavesLike.Win32.Trojan.H

http://www.virustotal.com/analisis/419a6d9c8ce71e2bfa30fda1b608abac5b9b54607a8a6a518df892cdc184c0cf-1249225578

[ 本帖最后由 黑衣~魂 于 2009-8-2 23:03 编辑 ]

hum

to panda
有人愿意在沙盘中跑下吗

三个人的时光

过了红伞···

xyao

2009-8-2 23:10:19    创建新进程    允许
进程: c:\windows\explorer.exe
目标: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
命令行: "C:\Documents and Settings\Administrator\My Documents\(无码普通话A片)北京职员浪荡做爱实拍.rmvb\(无码普通话A片)北京职员浪荡做爱实拍.rmvb.exe"
规则: [应用程序]*

2009-8-2 23:10:21    创建文件    允许
进程: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
目标: C:\Documents and Settings\Administrator\My Documents\(无码普通话A片)北京职员浪荡做爱实拍.rmvb\12000.EXE
规则: [文件组]所有执行文件 -> [文件]*; *.exe

2009-8-2 23:10:24    创建文件    允许
进程: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\bt5104.bat
规则: [文件组]TEMP -> [文件]c:\documents and settings\administrator\local settings\temp; *.bat

2009-8-2 23:10:26    设置文件隐藏属性    允许
进程: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\bt5104.bat
规则: [文件组]TEMP -> [文件]c:\documents and settings\administrator\local settings\temp; *.bat

2009-8-2 23:11:20    创建新进程    阻止
进程: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
目标: c:\windows\system32\cmd.exe
命令行: cmd.exe /c C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\bt5104.bat
规则: [应用程序]*

2009-8-2 23:11:49    删除文件    阻止
进程: c:\documents and settings\administrator\my documents\(无码普通话a片)北京职员浪荡做爱实拍.rmvb\(无码普通话a片)北京职员浪荡做爱实拍.rmvb.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\bt5104.bat
规则: [文件组]TEMP -> [文件]c:\documents and settings\administrator\local settings\temp; *.bat


生成的12000.EXE是0字节，主体是bt5104.bat

小兔乖乖

。。。。。。。。