囧~免杀目前主流样本 2（果然标题一定要长~囧）

囧神

囧~经过毒霸2009实地测试不报，经过在线扫描 41%的杀软(15/37)报告发现病毒，但是主流的几款都不报，（在线扫描的毒库都更新到9月份了~）囧

VirSCAN.org Scanned Report :
Scanned time   : 2009/09/02 16:30:50 (CST)
Scanner results: 41%的杀软(15/37)报告发现病毒
File Name      : 111.rar
File Size      : 70418 byte
File Type      : RAR archive data, v1d, os
MD5            : 821b1e2f13a79b7b350c32c1270aab98
SHA1           : 037999b9fc0acb53c5219e78ccc1bc2279779a8e
Online report  : http://virscan.org/report/7707fde2d90db447c2e1c09f63cca8b8.html
Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20090901220117    2009-09-01  4.36   Trojan.Crypt!IK
安博士V3       2009.09.02.01   2009.09.02        2009-09-02  0.80   -
AntiVir        8.2.1.7         7.1.5.193         2009-09-01  0.51   TR/Crypt.FKM.Gen
安天           2.0.18          20090902.2756267  2009-09-02  0.13   -
Arcavir        2009            200909011701      2009-09-01  0.04   -
Authentium     5.1.1           200909012255      2009-09-01  1.23   -
AVAST!         4.7.4           090901-0          2009-09-01  0.01   -
AVG            8.5.288         270.13.75/2340    2009-09-02  0.34   -
BitDefender    7.81008.3921481 7.27488           2009-09-02  3.39   Backdoor.PCClient.TCH
CA (VET)       9.0.0.143       31.6.6714         2009-09-02  6.20   Win32/PcClient!generic trojan.
ClamAV         0.95.2          9764              2009-09-02  0.02   -
Comodo         3.11            2180              2009-09-02  0.70   Backdoor.Win32.PcClient.~PW
CP Secure      1.3.0.5         2009.09.01        2009-09-01  0.06   -
Dr.Web         4.44.0.9170     2009.09.02        2009-09-02  5.33   Trojan.MulDrop.33902
F-Prot         4.4.4.56        20090901          2009-09-01  1.26   -
F-Secure       7.02.73807      2009.09.02.05     2009-09-02  0.14   -
飞塔           2.81-3.120      10.787            2009-09-02  0.16   W32/BDoor.CKB!tr.bdr
GData          19.7559/19.460  20090902          2009-09-02  5.00   -
ViRobot        20090901        2009.09.01        2009-09-01  0.42   -
Ikarus         T3.1.01.68      2009.09.02.73453  2009-09-02  3.90   Trojan.Crypt
江民杀毒       11.0.800        2009.09.02        2009-09-02  4.23   -
卡巴斯基       5.5.10          2009.09.02        2009-09-02  0.06   -
金山毒霸       2009.2.5.15     2009.9.2.14       2009-09-02  0.57   -
迈克菲         5.3.00          5727              2009-09-01  3.30   BackDoor-CKB.gen.ar
Microsoft      1.5005          2009.09.01        2009-09-01  5.31   Backdoor:Win32/PcClient.AA
Norman         6.01.09         6.01.00           2009-09-01  4.01   -
熊猫卫士       9.05.01         2009.09.01        2009-09-01  3.46   -
趋势科技       8.700-1004      6.414.01          2009-09-01  0.03   -
Quick Heal     10.00           2009.09.02        2009-09-02  1.11   Backdoor.PcClient.bhdg
瑞星           20.0            21.45.20.00       2009-09-02  0.84   -
Sophos         2.89.1          4.44              2009-09-02  3.46   Mal/PCClient-Q
Sunbelt        5366            5366              2009-09-01  1.52   -
赛门铁克       1.3.0.24        20090901.006      2009-09-01  0.05   -
nProtect       20090901.01     5165486           2009-09-01  7.15   Backdoor.PCClient.TCH
The Hacker     6.3.4.3         v00395            2009-09-01  0.91   -
VBA32          3.12.10.10      20090901.1841     2009-09-01  1.93   Malware.Agent.22 (suspicious)
VirusBuster    4.5.11.10       10.112.24/1842427 2009-09-01  3.83   Backdoor.PcClient.Gen.3


以下是病毒行为：

2009-9-2 16:22:58 c:\downloads\社区\111.exe 创建文件 C:\WINDOWS\system32\00047391.sys 允许 [文件组]系统执行文件 -> [文件]c:\windows\*; *.sys
（关键在于此处，如果此处禁止创建驱动文件的话，病毒进程会自动退出~囧 ）

2009-9-2 16:23:07 c:\downloads\社区\111.exe 安装驱动程序或服务 uwbqdo 允许 [应用程序]* 文件路径: C:\WINDOWS\system32\svchost -k uwbqdo

2009-9-2 16:23:10 c:\windows\system32\services.exe 创建注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\uwbqdo 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services

2009-9-2 16:23:11 c:\windows\system32\services.exe 修改注册表
值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\uwbqdo\ImagePath 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ImagePath 值: C:\WINDOWS\system32\svchost -k uwbqdo

2009-9-2 16:23:12 c:\downloads\社区\111.exe 修改注册表值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\uwbqdo\Parameters\ServiceDll 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ServiceDll 值: %SystemRoot%\System32\wkkbql.hlP

2009-9-2 16:23:13 c:\downloads\社区\111.exe 修改注册表值 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\uwbqdo\Parameters\ServiceDll 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\*; ServiceDll 值: %SystemRoot%\System32\wkkbql.hlP

2009-9-2 16:23:14 c:\downloads\社区\111.exe 创建注册表项 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\uwbqdo 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00?\Services

2009-9-2 16:23:14 c:\downloads\社区\111.exe 修改注册表值 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\uwbqdo\Parameters\ServiceDll 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00?\Services\*; ServiceDll 值: %SystemRoot%\System32\wkkbql.hlP

2009-9-2 16:23:15 c:\downloads\社区\111.exe 创建注册表项 HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET003\Services\uwbqdo 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00?\Services

2009-9-2 16:23:16 c:\downloads\社区\111.exe 修改注册表值 HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET003\Services\uwbqdo\Parameters\ServiceDll 允许 [注册表组]自动运行程序所在位置 -> [注册表]HKEY_LOCAL_MACHINE\SYSTEM\ControlSet00?\Services\*; ServiceDll 值: %SystemRoot%\System32\wkkbql.hlP

2009-9-2 16:23:16 c:\downloads\社区\111.exe 启动驱动程序或服务 uwbqdo 允许 [应用程序]* 文件路径: C:\WINDOWS\system32\svchost -k uwbqdo

2009-9-2 16:23:25 c:\windows\system32\svchost.exe 删除文件 C:\Downloads\社区\111.exe 允许 [文件组]所有执行文件 -> [文件]*; *.exe

2009-9-2 16:23:26 c:\windows\system32\svchost.exe 安装全局消息钩子 c:\windows\system32\wkkbql.hlp 允许 [应用程序]c:\windows\system32\svchost.exe 钩子类型: WH_CALLWNDPROC

2009-9-2 16:23:27 c:\windows\system32\svchost.exe 安装全局消息钩子 c:\windows\system32\wkkbql.hlp 允许 [应用程序]c:\windows\system32\svchost.exe 钩子类型: WH_GETMESSAGE

2009-9-2 16:23:28 c:\windows\system32\svchost.exe 安装全局消息钩子 c:\windows\system32\wkkbql.hlp 允许 [应用程序]c:\windows\system32\svchost.exe 钩子类型: WH_GETMESSAGE

2009-9-2 16:25:32 c:\windows\system32\svchost.exe 创建新进程 c:\windows\system32\rundll32.exe 阻止 [应用程序]* 命令行: rundll32.exe shell32.dll,SHCreateLocalServerRunDll {601ac3dc-786a-4eb0-bf40-ee3521e70bfb} -Embedding

2009-9-2 16:25:36 c:\windows\system32\svchost.exe 访问网络 TCP [本机 : 1548] ->  [172.16.4.118 : 2009] 阻止 [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]
2009-9-2 16:25:49 c:\windows\system32\svchost.exe 访问网络 TCP [本机 : 1549] ->  [172.16.4.118 : 2009] 阻止 [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-9-2 16:25:56 c:\windows\system32\services.exe 向其他进程发送消息 c:\windows\system32\csrss.exe 阻止 [应用程序]c:\windows\system32\services.exe 消息: WM_DEVICECHANGE

2009-9-2 16:26:01 c:\windows\system32\svchost.exe 访问网络 TCP [本机 : 1552] ->  [172.16.4.118 : 2009] 阻止 [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-9-2 16:26:17 c:\windows\system32\svchost.exe 访问网络 TCP [本机 : 1556] ->  [172.16.4.118 : 2009] 阻止并结束进程 [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-9-2 16:28:03 c:\windows\system32\svchost.exe 访问网络 UDP [本机 : 1555] ->  [239.255.255.250 : 1900] 阻止并结束进程 [网络]任意协议 [本机 : 任意端口] <-> [任意地址 : 任意端口]

2009-9-2 16:29:16 c:\windows\system32\svchost.exe 修改其他进程的内存 c:\windows\system32\winlogon.exe 阻止并结束进程 [应用程序]c:\windows\system32\svchost.exe


囧囧囧~



[ 本帖最后由 囧神 于 2009-9-2 16:59 编辑 ]

悠柚

我的飞塔和它的Online Scanner都没报

鱼是一只我

好多都没过，怎么叫过主流杀软

傻猪猪米走鸡

nod miss

haizhison

咖啡算不算主流？  

wliao

Online Armor

nvhaichina

微点拦截了

fengtaks

mail to LL

gzy_hao

To SSR

囧神

囧~想看看大家拦截的病毒名和截图。。。。像6楼那样的~囧囧囧