今天COMODO联网报警之偶然发现

donaldz

今天开机后偶然发现COMODO弹出一个程序的网络请求窗口，文件名非常非常诡异，gecoef.exe ，顺藤摸瓜发现该文件位于C:\Program Files\genoes 目录下，搜索了一下也没发现什么可用的信息，同目录下还有一个文件hodoes.exe，同时还有一个kascas文件夹，内有gecoef.ini, sumeos.dll和sunoes.dll三个文件。费尔无反应 。


我把整个目录打包上传了，大家看看吧。

VirusTotal扫描了一下gecoef.exe，看起来不是好东西的几率很大：

Antivirus        Version        Last Update        Result
a-squared        4.5.0.24        2009.08.26        Trojan.Win32.Iyeclore!IK
AhnLab-V3        5.0.0.2        2009.08.25        -
AntiVir        7.9.1.3        2009.08.26        -
Antiy-AVL        2.0.3.7        2009.08.24        -
Authentium        5.1.2.4        2009.08.26        -
Avast        4.8.1335.0        2009.08.25        -
AVG        8.5.0.406        2009.08.25        -
BitDefender        7.2        2009.08.26        -
CAT-QuickHeal        10.00        2009.08.25        -
ClamAV        0.94.1        2009.08.26        -
Comodo        2100        2009.08.26        -
DrWeb        5.0.0.12182        2009.08.26        -
eSafe        7.0.17.0        2009.08.25        -
eTrust-Vet        31.6.6700        2009.08.25        -
F-Prot        4.5.1.85        2009.08.25        -
F-Secure        8.0.14470.0        2009.08.26        -
Fortinet        3.120.0.0        2009.08.26        -
GData        19        2009.08.26        -
Ikarus        T3.1.1.68.0        2009.08.26        Trojan.Win32.Iyeclore
Jiangmin        11.0.800        2009.08.26        -
K7AntiVirus        7.10.827        2009.08.25        -
Kaspersky        7.0.0.125        2009.08.26        -
McAfee        5720        2009.08.25        -
McAfee+Artemis        5720        2009.08.25        -
McAfee-GW-Edition        6.8.5        2009.08.26        -
Microsoft        1.4903        2009.08.26        Trojan:Win32/Iyeclore.A
NOD32        4368        2009.08.26        probably a variant of Win32/Hupigon.NQW
Norman                2009.08.26        -
nProtect        2009.1.8.0        2009.08.26        -
Panda        10.0.2.2        2009.08.26        Suspicious file
PCTools        4.4.2.0        2009.08.25        -
Prevx        3.0        2009.08.26        -
Rising        21.44.11.00        2009.08.25        -
Sophos        4.44.0        2009.08.26        -
Sunbelt        3.2.1858.2        2009.08.25        -
Symantec        1.4.4.12        2009.08.26        -
TheHacker        6.3.4.3.388        2009.08.25        -
TrendMicro        8.950.0.1094        2009.08.26        -
VBA32        3.12.10.10        2009.08.26        -
ViRobot        2009.8.26.1902        2009.08.26        -
VirusBuster        4.6.5.0        2009.08.25        -

R.T

是啥，我没允许他连网

donaldz

补充，刚刚把这几个文件用费尔在线扫描了一下，大部分没反应，sunoes.dll被鉴定为后门。

勾选扫描加壳程序的话，gecoef.exe和hodoes.exe都报Heuri.Possible/Packed

唉。这玩意在电脑里也待了有几天了...

[ 本帖最后由 donaldz 于 2009-8-26 20:06 编辑 ]

星空下的吻

卡巴 miss  all
运行后hodoes文件生成进程项，任务管理器无法结束，极度可疑
竟然没有触犯主防规则

c2091986

NOD报木马~

0tre

疑惑！1如何进入机器！！并生成文件？？？？

donaldz

原帖由 0tre 于 2009-8-26 22:13 发表
疑惑！1如何进入机器！！并生成文件？？？？

这...我也不知道。今天要不是COMODO拦截它联网估计它还在那儿待着呢...

另，今天22：14：01的10.85.745病毒库费尔能认出来其中的一个DLL文件为Backdoor.Agent.akfs.odnp.dll...其他文件继续无反应。

失落的手链

瑞星2010
Trojan.Win32.Generic.11ECBB90

尤金卡巴斯基

2009/8/26 23:15:51 已删除 木马程序 Backdoor.Win32.Agent.akfs G:\Temp\Virus\genoes\genoes\kascas\sunoes.dll