马一个，求高人鉴定一下

显示全部楼层 · 发表于 2009-9-1 11:21:30

不在家，没环境，请高人鉴定下行为

http://d.namipan.com/d/fb256a62fc1daf74c31ffb6f159391be0364655c38451a00

这是某下载站里下载知名杂志发现的，看来免费的杂志还是小心

[ 本帖最后由 htm123 于 2009-9-1 16:32 编辑 ]

显示全部楼层 · 发表于 2009-9-1 11:26:56

样本呢？没样本怎么分析呢？

显示全部楼层 · 发表于 2009-9-1 11:28:32

在纳米盘里……

显示全部楼层 · 发表于 2009-9-1 11:30:26

瑞星2010
Trojan.Win32.Generic.11ECAC3A

显示全部楼层 · 发表于 2009-9-1 11:32:24

原帖由 失落的手链 于 2009-9-1 11:30 发表
瑞星2010
Trojan.Win32.Generic.11ECAC3A

能给分析下行为么？
我这里没沙盘环境

显示全部楼层 · 发表于 2009-9-1 11:38:26

VirSCAN.org Scanned Report :
Scanned time : 2009/09/01 11:25:09 (CST)
Scanner results: 27%的杀软(10/37)报告发现病毒
File Name    : komeos.rar
File Size    : 1721656 byte
File Type    : RAR archive data, v1d, os
MD5          : 5a208aca53ea626c597edbd6228a1018
SHA1          : 067de6067a07cdba0ec7a810381e63b5a7e1d19e
Online report  : http://virscan.org/report/8a22e38a2cfe6f9f0ba608f3c75e82ed.html

Scanner       Engine Ver    Sig Ver          Sig Date Time Scan result
a-squared    4.5.0.8       20090831193154 2009-08-31  8.94 Trojan.Win32.Iyeclore!IK
安博士V3    2009.09.01.00 2009.09.01       2009-09-01  1.07 -
AntiVir       8.2.1.7       7.1.5.179       2009-08-28  12.03  -
安天          2.0.18       20090831.2747036  2009-08-31  0.27 -
Arcavir       2009          200908281637    2009-08-28  4.15 -
Authentium    5.1.1          200908311749    2009-08-31  25.09  W32/Swizzor-based.2!Maximus (Heuristic)
AVAST!       4.7.4          090831-0       2009-08-31  0.23 Win32:Trojan-gen {Other}
AVG          8.5.288       270.13.73/2338 2009-09-01  0.57 Generic14.ADOG
BitDefender 7.81008.3920225 7.27466          2009-09-01  3.72 -
CA (VET)    9.0.0.143    31.6.6712       2009-09-01  11.86  -
ClamAV       0.95.2       9760             2009-08-31  0.83 -
Comodo       3.11          2166             2009-09-01  0.95 -
CP Secure    1.3.0.5       2009.09.01       2009-09-01  0.01 -
Dr.Web       4.44.0.9170    2009.08.31       2009-08-31  6.53 -
F-Prot       4.4.4.56       20090827       2009-08-27  22.34  Possible W32/Swizzor-based.2!Maximus
F-Secure    7.02.73807    2009.08.28.09    2009-08-28  0.51 -
飞塔          2.81-3.120    10.782          2009-08-31  1.65 PossibleThreat
GData       19.7531/19.459  20090901       2009-09-01  11.36  Backdoor.Win32.Agent.akki [Engine:A]
ViRobot       20090831       2009.08.31       2009-08-31  0.68 -
Ikarus       T3.1.01.68    2009.09.01.73435  2009-09-01  4.60 Trojan.Win32.Iyeclore
江民杀毒    11.0.800       2009.08.31       2009-08-31  5.86 -
卡巴斯基    5.5.10       2009.08.28       2009-08-28  0.26 -
金山毒霸    2009.2.5.15    2009.9.1.7       2009-09-01  0.67 -
迈克菲       5.3.00       5726             2009-08-31  8.56 -
Microsoft    1.5005       2009.08.31       2009-08-31  7.39 Trojan:Win32/Iyeclore.A
Norman       6.01.09       6.01.00          2009-08-31  4.00 -
熊猫卫士    9.05.01       2009.08.31       2009-08-31  1.71 -
趋势科技    8.700-1004    6.402.05       2009-08-28  0.09 -
Quick Heal    10.00          2009.08.31       2009-08-31  5.57 -
瑞星          20.0          21.45.04.00    2009-08-31  1.69 -
Sophos       2.89.1       4.44             2009-09-01  3.42 Mal/Generic-A
Sunbelt       5364          5364             2009-08-31  6.91 -
赛门铁克    1.3.0.24       20090831.018    2009-08-31  1.11 -
nProtect    20090831.01    5159426          2009-08-31  9.74 -
The Hacker    6.3.4.3       v00393          2009-08-31  3.75 -
VBA32       3.12.10.10    20090831.1545    2009-08-31  3.82 -
VirusBuster 4.5.11.10    10.112.20/1826778 2009-08-28  3.78 -

显示全部楼层 · 发表于 2009-9-1 13:20:13

囧~实地测试了，的确免杀过毒霸2009，但测试行为时发现这个木马根本没法成功运行，（并没有进行拦截操作）样本中的doneos文件，双击运行后没有任何行为就自动从进程中退出了，nogese也只有一个行为
2009-09-01 13:12:12 文件保护(创建文件) 操作:阻止
进程路径:C:\Downloads\卡饭\komeos\nogese.exe
文件路径:C:\Downloads\卡饭\komeos\duzose\nogese.ini
阻止后会再创建一次，之后就没有其他行为了，允许的话，同样没有任何继续行为发生~囧
囧~另外没有发现联网行为，所以怀疑样本本身有问题~囧囧

[ 本帖最后由囧神于 2009-9-1 13:21 编辑 ]

显示全部楼层 · 发表于 2009-9-1 23:07:20

2009/9/1 23:06:50 已清除木马程序 Backdoor.Win32.Agent.akki G:\Temp\Virus\komeos.rar/komeos\doneos.exe

[病毒样本] 马一个，求高人鉴定一下