昨天用迅雷下电影时中的毒，杀毒软件全军覆没

显示全部楼层 · 发表于 2009-8-28 23:27:49

昨天用迅雷下一部RMVB 格式的电影看时，一边开着的maxthon突然弹出很多网页，关都来不及，想想应该是RMVB 的问题，有弹出窗口也算正常，不管他，继续看。没想到看完以后，重启了机器这个问题还在，无缘无故的会突然弹出很多网页，而且弹出的东西是不固定的，什么都有，心想这下应该是中毒了。用wsyscheck 看来下，一个svchost.exe 进程下多了两个dll ，分别是mspmsnsvr.dll olemaskvr.dll，还有一个伪装进程taskmrg.exe （注意，正常的是taskmgr.exe 差点让他蒙了），下面有四个模块SmartBaidu.dll SmartClick.dll SmartPopup.dll SmartSearch.dll。
大致分析了下，taskmrg.exe 没有启动项，只多了一个svchost的服务，叫什么名字忘了，应该是由mspmsnsvr.dll 调用才启动的。
既然发现了问题，那把这些文件咔嚓掉就可以了，但是值得注意的是，我把上面六个文件放到在线扫描上查，除了mspmsndvr.dll 红伞报了以外，其他没有一个报的。今天多了卡巴和IK，报的还是很少。虽然我的电脑是裸奔的，但怎么说也是打满补丁的，病毒也能那么轻易的进来，哎，大家以后用迅雷下东西的时候，还是小心为好，嘿嘿。。
附上样本

显示全部楼层 · 发表于 2009-8-28 23:31:38

taskmrg.exe——Trojan.Win32.Agent.cvin

显示全部楼层 · 发表于 2009-8-28 23:35:48

这下知道裸奔是不好受的了吧·······

显示全部楼层 · 发表于 2009-8-28 23:38:11

我用过maxthon这款浏览器。不错的说，不过当时是用来玩webgame

显示全部楼层 · 发表于 2009-8-28 23:42:58

哎，不过当时除了红伞可以杀一个dll 以外别的都没用，一个都发现不了，不知道主动防御可以不。。
不过我还是很好奇他是怎么让我中毒的，就靠一个RMVB ?

显示全部楼层 · 发表于 2009-8-28 23:46:47

RS20090828234233421678

显示全部楼层 · 发表于 2009-8-28 23:47:50

2009-8-28 23:46:47 检测到威胁: Trojan.Win32.Agent.cvin F:\DL\taskmrg\taskmrg.rar/taskmrg.exe

显示全部楼层 · 发表于 2009-8-28 23:53:16

打包上报至瑞星云安全自动分析系统

显示全部楼层 · 发表于 2009-8-28 23:53:56

上报文件成功！
查询编号：RS20090828234945546716
为查询文件分析结果，请记录此编号。谢谢您的参与！

显示全部楼层 · 发表于 2009-8-29 07:13:43

RMVB 可以加入弹窗
弹出的网页有马

[病毒样本] 昨天用迅雷下电影时中的毒，杀毒软件全军覆没

本帖子中包含更多资源

回复 3楼 foxzhou1983 的帖子