onece.exe

Hopesky

关于 once.exe  详细分析：

Size 233338
MD5 b3c02074b14d7cf2972a824d880841f8
SHA1 bf0e87723cba9ee443a5f18cd470ad3f60c9b583
SHA256 0a1d0fb03238a56ab0cd203fb0f360d048944f8e050a01974cf49463675d5188


行为分析：

创建注册表值：
CU\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
http://www.baidu.com/index.php?tn=lin7163862_pg

CU\Software\Microsoft\Internet Explorer\Main\Search Bar
http://www.baidu.com/index.php?tn=lin7163862_pg"

CU\Software\Microsoft\Internet Explorer\SearchUrl\
http://www.baidu.com/index.php?tn=lin7163862_pg

修改注册表值：
CU\Software\Microsoft\Internet Explorer\Main\Search Page
CU\Software\Microsoft\Internet Explorer\Main\Start Page
LM\Software\Microsoft\Internet Explorer\Main\Default_Page_URL
LM\Software\Microsoft\Internet Explorer\Main\Default_Search_URL
LM\Software\Microsoft\Internet Explorer\Main\Search Page
LM\Software\Microsoft\Internet Explorer\Main\Start Page
LM\Software\Microsoft\Internet Explorer\Search\SearchAssistant

删除文件：
C:\TEST\sample.exe


结论：startpage

分析 By：liujiehua~猫猫

[ 本帖最后由 liujiehua 于 2009-8-12 16:17 编辑 ]

465714676

我用的是NOD32                    C:\Documents and Settings\Administrator\桌面\once.rar > RAR > once.exe - Win32/StartPage.NIV 特洛伊木马

465714676

VirSCAN.org Scanned Report :
Scanned time   : 2009/08/12 16:09:56 (CST)
Scanner results: 30%的杀软(11/37)报告发现病毒
File Name      : once.rar
File Size      : 228042 byte
File Type      : RAR archive data, v1d, os
MD5            : f0e5b77369d09ac24eb2af9ad2eeb613
SHA1           : b10d05e48d17808783d7a30ac378e337e754aab6
Online report  : http://virscan.org/report/e6424e904081a47efc4ab8f38ae9c6bb.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.3         20090812000143    2009-08-12  0.59   -
安博士V3       2009.08.11.07   2009.08.11        2009-08-11  0.92   -
AntiVir        8.2.1.0         7.1.5.100         2009-08-11  0.22   ADSPY/StartPage.AXG
安天           2.0.18          20090810.2695746  2009-08-10  0.12   -
Arcavir        2009            200908111403      2009-08-11  0.32   Worm.Autorun.Loy
Authentium     5.1.1           200908120041      2009-08-12  5.52   -
AVAST!         4.7.4           090811-0          2009-08-11  0.05   Win32:Adware-gen [Adw]
AVG            8.5.288         270.13.51/2297    2009-08-12  0.76   Worm/Autoit.OPQ
BitDefender    7.81008.3835786 7.27124           2009-08-12  3.43   Trojan.Generic.1430613
CA (VET)       9.0.0.143       31.6.6670         2009-08-11  15.79  -
ClamAV         0.95.2          9677              2009-08-11  0.16   -
Comodo         3.10            1951              2009-08-12  3.26   -
CP Secure      1.1.0.715       2009.08.12        2009-08-12  12.72  -
Dr.Web         4.44.0.9170     2009.08.12        2009-08-12  6.52   -
F-Prot         4.4.4.56        20090811          2009-08-11  1.55   -
F-Secure       7.02.73807      2009.08.12.04     2009-08-12  8.21   -
飞塔           2.81-3.120      10.707            2009-08-11  0.42   -
GData          19.7047/19.436  20090812          2009-08-12  16.57  Win32:Adware-gen [Adw] [Engine:B]
ViRobot        20090811        2009.08.11        2009-08-11  0.98   -
Ikarus         T3.1.01.64      2009.08.12.73224  2009-08-12  3.75   -
江民杀毒       11.0.800        2009.08.12        2009-08-12  11.41  -
卡巴斯基       5.5.10          2009.08.12        2009-08-12  0.36   -
金山毒霸       2009.2.5.15     2009.8.12.14      2009-08-12  0.80   Win32.Troj.Agent.ao.566650
迈克菲         5.3.00          5706              2009-08-11  3.54   Generic StartPage
Microsoft      1.4903          2009.08.12        2009-08-12  5.83   -
Norman         6.01.09         6.01.00           2009-08-11  6.02   -
熊猫卫士       9.05.01         2009.08.11        2009-08-11  2.59   -
趋势科技       8.700-1004      6.358.01          2009-08-11  0.08   -
Quick Heal     10.00           2009.08.12        2009-08-12  1.35   -
瑞星           20.0            21.42.21.00       2009-08-12  0.90   -
Sophos         2.89.1          4.44              2009-08-12  3.73   Mal/Generic-A
Sunbelt        5325            5325              2009-08-11  4.89   -
赛门铁克       1.3.0.24        20090811.004      2009-08-11  0.51   Trojan.Startpage
nProtect       20090812.02     4997778           2009-08-12  9.69   -
The Hacker     6.3.4.3         v00381            2009-08-11  1.03   -
VBA32          3.12.10.9       20090811.1432     2009-08-11  6.05   Trojan.Autoit.ITN (suspicious)
VirusBuster    4.5.11.10       10.112.2/1844876  2009-08-11  5.45   -

左手

没有E盾，只能用杀软了

ll47548205

乃成了扫描党了啊

ll47548205

我代劳吧


2009-08-12 17:14:55    创建文件      操作:阻止
进程路径:D:\新建文件夹\once.exe
文件路径:C:\WINDOWS\system32\once.reg
触发规则:所有程序规则->危险扩展名规则->?:\*.reg


2009-08-12 17:14:57    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\once.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c regedit /s "C:\WINDOWS\system32\once.reg"
触发规则:高优先规则->cmd规则->*\cmd.exe


2009-08-12 17:14:59    运行应用程序      操作:阻止
进程路径:D:\新建文件夹\once.exe
文件路径:C:\WINDOWS\system32\cmd.exe
命令行:/c ping 127.0.0.1 -n 3&del /q "D:\新建文件夹\once.exe"
触发规则:高优先规则->cmd规则->*\cmd.exe

[ 本帖最后由 ll47548205 于 2009-8-12 17:23 编辑 ]

sam.to

原帖由 sam.to 于 2009-8-12 16:13 发表
Hello,


once.exe2

No malicious code was found in this file.

Hello,



once.exe2 - Trojan.Win32.StartPage.eaf



New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.



Please quote all when answering.

The answer is relevant to the latest bases from update sources.

估计是行为特征码分析

尤金卡巴斯基

原帖由 sam.to 于 2009-8-12 22:58 发表

Hello,



once.exe2 - Trojan.Win32.StartPage.eaf



New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.



Plea ...

是上诉了吗？

sam.to

对,一看便知道,跟2行文件的距離是大一点的