QvodSetup9.exe

天使的愤怒

今天，在H网站逛了一下。又发现一个病毒样本，名为QvodSetup9.exe。我在8：43分左右提交到VirScan时，Dr.web未报毒。其实本人电脑上的大蜘蛛已经报毒了，只不过是因为VirScan上的杀毒引擎还未更新罢了。害的我白上报一次，以后一定得记得先在自己电脑上扫描下了，不能让大蜘蛛的反病毒工程师白忙活呀。
QvodSetup9.exe下载地址：http://download.d36f.com/QvodSetup9.exe
VirSCAN.org Scanned Report :
Scanned time   : 2009/08/27 11:23:06 (CST)
Scanner results: 35%的杀软(13/37)报告发现病毒
File Name      : QvodSetup9.exe
File Size      : 644608 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : e0f59ff8df9ab71a755c16922a479209
SHA1           : 90f8bba31e35676c5d1597b74d8345f0e3877956
Online report  : http://virscan.org/report/efaef498229b77245a808153eda825bf.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20090826020114    2009-08-26  1.36   Rkit!IK
安博士V3       2009.08.26.00   2009.08.26        2009-08-26  0.77   -
AntiVir        8.2.1.3         7.1.5.156         2009-08-24  7.02   -
安天           2.0.18          20090824.2730530  2009-08-24  0.12   -
Arcavir        2009            200908241822      2009-08-24  0.44   Trojan.Dropper.Mudrop.Cjx
Authentium     5.1.1           200908262150      2009-08-26  1.25   -
AVAST!         4.7.4           090826-0          2009-08-26  0.22   Win32:Small-NAC [Drp]
AVG            8.5.288         270.13.69/2328    2009-08-26  0.74   -
BitDefender    7.81008.3914204 7.27369           2009-08-27  4.57   Gen:Trojan.Heur.PT.cuW@b4UhLlj
CA (VET)       9.0.0.143       31.6.6699         2009-08-26  8.08   -
ClamAV         0.95.2          9743              2009-08-26  0.56   Trojan.Bifrose-2048
Comodo         3.10            2096              2009-08-25  0.72   -
CP Secure      1.3.0.5         2009.08.26        2009-08-26  0.83   -
Dr.Web         4.44.0.9170     2009.08.27        2009-08-27  5.66   MULDROP.Trojan
F-Prot         4.4.4.56        20090824          2009-08-24  1.54   -
F-Secure       7.02.73807      2009.08.24.10     2009-08-24  8.62   Trojan-Dropper.Win32.Bho.cv [AVP]
飞塔           2.81-3.120      10.757            2009-08-25  0.37   -
GData          19.7384/19.452  20090825          2009-08-25  4.98   Trojan-Dropper.Win32.Bho.cv [Engine:A]
ViRobot        20090825        2009.08.25        2009-08-25  0.54   -
Ikarus         T3.1.01.68      2009.08.27.73368  2009-08-27  6.21   Rkit
江民杀毒       11.0.800        2009.08.25        2009-08-25  3.56   -
卡巴斯基       5.5.10          2009.08.25        2009-08-25  0.99   Trojan-Dropper.Win32.Bho.cv
金山毒霸       2009.2.5.15     2009.8.25.21      2009-08-25  0.47   -
迈克菲         5.3.00          5721              2009-08-26  3.24   -
Microsoft      1.4903          2009.08.26        2009-08-26  7.09   Worm:Win32/Citeary.B
Norman         6.01.09         6.01.00           2009-08-26  4.01   -
熊猫卫士       9.05.01         2009.08.25        2009-08-25  2.19   -
趋势科技       8.700-1004      6.392.02          2009-08-24  0.05   -
Quick Heal     10.00           2009.08.25        2009-08-25  1.20   -
瑞星           20.0            21.44.24.00       2009-08-26  1.74   AdWare.Win32.Undef.far
Sophos         2.89.1          4.44              2009-08-27  3.75   Mal/TibsPk-A
Sunbelt        5353            5353              2009-08-24  1.63   -
赛门铁克       1.3.0.24        20090825.004      2009-08-25  0.06   -
nProtect       20090825.02     5133461           2009-08-25  7.68   -
The Hacker     6.3.4.3         v00388            2009-08-25  0.67   -
VBA32          3.12.10.10      20090826.1222     2009-08-26  1.98   -
VirusBuster    4.5.11.10       10.112.15/1802658 2009-08-24  2.44   -
貌似H网站上的Q播都是毒呀。太不厚道了！

[ 本帖最后由 bc123 于 2009-8-27 11:49 编辑 ]

songdehao

RS2010 kill

62590423

用IE8自带的下载报告不安全的下载
另外红伞KILL

[ 本帖最后由 62590423 于 2009-8-27 11:42 编辑 ]

luxiao200888

话说eset kill

z2665

mse miss 1x，to
话说d4r2a.exe中也绑了恶意软件的。
(Drive)   \Device\CdRom0
(Drive)   \Device\HarddiskVolume1
(Drive)   \Device\HarddiskVolume2
(Drive)   \Device\HarddiskVolume3
(Drive)   \Device\HarddiskVolume4
(Unk)      00000022 \Device\SandboxieDriverApi
(Unk)      00000039 \Device\KsecDD
(Unk)      00000040 \FileSystem\Filters\FltMgrMsg
(Unk)      000000F1 \Device\RasAcd
Clsid     -------------------------------
Clsid     {25336920-03F9-11CF-8FD0-00AA00686F13} HTML Document
Ipc       -------------------------------
Ipc       \RPC Control\epmapper
Ipc       \RPC Control\OLEB63FBDAF6D0A477B8B3FD0685A55
Ipc       \RPC Control\OLEBCF114A64AD74A9C921E3D8EC0AE
Ipc       \Sessions\1\BaseNamedObjects\!IETld!Mutex
Ipc       \Sessions\1\BaseNamedObjects\!PrivacIE!SharedMem!Counter
Ipc       \Sessions\1\BaseNamedObjects\!PrivacIE!SharedMemory!Mutex
Ipc       \Sessions\1\BaseNamedObjects\_!MSFTHISTORY!_
Ipc       \Sessions\1\BaseNamedObjects\_!SHMSFTHISTORY!_
Ipc       \Sessions\1\BaseNamedObjects\__ComCatalogCache__
Ipc       \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!history!history.ie5!
Ipc       \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!history!history.ie5!mshist012009082720090828!
Ipc       \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!temporary internet files!content.ie5!
Ipc       \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!roaming!microsoft!windows!cookies!
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_History_History.IE5_index.dat_131072
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_History_History.IE5_MSHist012009082720090828_index.dat_32768
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_History_History.IE5_MSHist012009082720090828_index.dat_49152
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_Temporary Internet Files_Content.IE5_index.dat_753664
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Roaming_Microsoft_Windows_Cookies_index.dat_32768
Ipc       \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Roaming_Microsoft_Windows_Cookies_index.dat_49152
Ipc       \Sessions\1\BaseNamedObjects\MSIMGSIZECacheMap
Ipc       \Sessions\1\BaseNamedObjects\MSIMGSIZECacheMutex
Ipc       \Sessions\1\BaseNamedObjects\oleacc-msaa-loaded
Ipc       \Sessions\1\BaseNamedObjects\SbieDllDummyEvent_1564
Ipc       \Sessions\1\BaseNamedObjects\SbieDllDummyEvent_2924
Ipc       \Sessions\1\BaseNamedObjects\SbieDllDummyEvent_3052
Ipc       \Sessions\1\BaseNamedObjects\SbieDllDummyEvent_3136
Ipc       \Sessions\1\BaseNamedObjects\SbieServiceInitComplete_RpcSs
Ipc       \Sessions\1\BaseNamedObjects\UrlZonesSM_z2665
Ipc       \Sessions\1\BaseNamedObjects\windows_ie_global_counters
Ipc       \Sessions\1\BaseNamedObjects\windows_shell_global_counters
Ipc       \Sessions\1\BaseNamedObjects\ZoneAttributeCacheCounterMutex
Ipc       \Sessions\1\BaseNamedObjects\ZonesCacheCounterMutex
Ipc       \Sessions\1\BaseNamedObjects\ZonesCounterMutex
Ipc       \Sessions\1\BaseNamedObjects\ZonesLockedCacheCounterMutex
Ipc    O  \...\WerTargetListTable
Ipc    O  \BaseNamedObjects\msctf.serverDefault1
Ipc    O  \BaseNamedObjects\Sandboxie_DeviceIdList
Ipc    O  \BaseNamedObjects\Sandboxie_DeviceSetupClasses
Ipc    O  \BaseNamedObjects\TabletHardwarePresent
Ipc    O  \KnownDlls\advapi32.dll
Ipc    O  \KnownDlls\clbcatq.dll
Ipc    O  \KnownDlls\COMDLG32.dll
Ipc    O  \KnownDlls\gdi32.dll
Ipc    O  \KnownDlls\IERTUTIL.dll
Ipc    O  \KnownDlls\kernel32.dll
Ipc    O  \KnownDlls\LPK.dll
Ipc    O  \KnownDlls\MSCTF.dll
Ipc    O  \KnownDlls\MSVCRT.dll
Ipc    O  \KnownDlls\NORMALIZ.dll
Ipc    O  \KnownDlls\NSI.dll
Ipc    O  \KnownDlls\ole32.dll
Ipc    O  \KnownDlls\OLEAUT32.dll
Ipc    O  \KnownDlls\PSAPI.DLL
Ipc    O  \KnownDlls\rpcrt4.dll
Ipc    O  \KnownDlls\Setupapi.dll
Ipc    O  \KnownDlls\SHELL32.dll
Ipc    O  \KnownDlls\SHLWAPI.dll
Ipc    O  \KnownDlls\URLMON.dll
Ipc    O  \KnownDlls\user32.dll
Ipc    O  \KnownDlls\USP10.dll
Ipc    O  \KnownDlls\WININET.dll
Ipc    O  \KnownDlls\WLDAP32.dll
Ipc    O  \KnownDlls\WS2_32.dll
Ipc    O  \LsaAuthenticationPort
Ipc    O  \NLS\NlsSectionSortkey0000080450100
Ipc    O  \RPC Control\DNSResolver
Ipc    O  \RPC Control\nlaapi
Ipc    O  \RPC Control\RasmanRpc
Ipc    O  \RPC Control\SbieSvcPort
Ipc    O  \RPC Control\senssvc
Ipc    O  \Security\LSA_AUTHENTICATION_INITIALIZED
Ipc    O  \Sessions\1\BaseNamedObjects\CicLoadWinStaWinSta0
Ipc    O  \Sessions\1\BaseNamedObjects\CTF.AsmListCache.FMPDefaultS-1-5-21-2556411077-3557072073-1268221902-1000
Ipc    O  \Sessions\1\BaseNamedObjects\MSCTF.Asm.MutexDefaultS-1-5-21-2556411077-3557072073-1268221902-1000
Ipc    O  \Sessions\1\BaseNamedObjects\MSCTF.CtfMonitorInstMutexDefault1
Ipc    O  \Sessions\1\BaseNamedObjects\RasPbFile
Ipc    O  \Sessions\1\BaseNamedObjects\WininetConnectionMutex
Ipc    O  \Sessions\1\BaseNamedObjects\WininetProxyRegistryMutex
Ipc    O  \Sessions\1\BaseNamedObjects\WininetStartupMutex
Ipc    O  \Sessions\1\Windows\ApiPort
Ipc    O  \Sessions\1\Windows\SharedSection
Ipc    O  \ThemeApiPort
Ipc    X  \BaseNamedObjects\{4AD5C1B1-C922-46dc-87EB-EEEEA805350C}
Ipc    X  \Sessions\1\BaseNamedObjects\!IETld!Mutex
Ipc    X  \Sessions\1\BaseNamedObjects\_!MSFTHISTORY!_
Ipc    X  \Sessions\1\BaseNamedObjects\_!SHMSFTHISTORY!_
Ipc    X  \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!history!history.ie5!
Ipc    X  \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!history!history.ie5!mshist012009082720090828!
Ipc    X  \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!local!microsoft!windows!temporary internet files!content.ie5!
Ipc    X  \Sessions\1\BaseNamedObjects\c:!users!z2665!appdata!roaming!microsoft!windows!cookies!
Ipc    X  \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_History_History.IE5_index.dat_131072
Ipc    X  \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_History_History.IE5_MSHist012009082720090828_index.dat_32768
Ipc    X  \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Local_Microsoft_Windows_Temporary Internet Files_Content.IE5_index.dat_753664
Ipc    X  \Sessions\1\BaseNamedObjects\C:_Users_z2665_AppData_Roaming_Microsoft_Windows_Cookies_index.dat_32768
Ipc    X  \Sessions\1\BaseNamedObjects\MSIMGSIZECacheMap
Ipc    X  \Sessions\1\BaseNamedObjects\windows_ie_global_counters
Ipc    X  \Sessions\1\BaseNamedObjects\windows_shell_global_counters
Pipe      -------------------------------
Pipe   O  \Device\Afd
Pipe   O  \Device\Afd\AsyncConnectHlp
Pipe   O  \Device\Afd\Endpoint
Pipe   X  \Device\NamedPipe\lsarpc
Pipe   X  \Device\NamedPipe\srvsvc
WinCls    -------------------------------
WinCls O  MS_WebcheckMonitor
WinCls O  MS_WebCheckMonitor
WinCls O  Shell_TrayWnd
WinCls X  MS_AutodialMonitor
WinCls X  Progman

hj5abc

to LS，又见resource access monitor...

其实里面是两个...

>QvodSetup9.exe/qvod.exe - probably infected with MULDROP.Trojan

QvodSetup9.exe/d4r2a.exe/QvodSetupPlus3.exe packed by UPX
>QvodSetup9.exe/d4r2a.exe/QvodSetupPlus3.exe infected with Trojan.DownLoad.45179

悠柚

to IObit

z2665

我知道是2个，qvod.exe被mse干掉了。。。
然后用沙盘运行的d4r2a.exe。
沙盘的监视器得到的信息很多，但有用的看来不多

qiyg2008

点击下载，红伞秒杀

星空下的吻

卡巴 秒杀