很 囧 很囧的vbs病毒

wptyh73hm

tgzw1680

有幸看到第一个写数据流的活的病毒，呵呵。没有专门去找，今天碰到了，收藏。。。。

Beloved

-_-!，解压后，显示全部隐藏文件也没看到，，用WinRAR 看到的

动作都比较高危，开始就往 windows\system32 写。么有看到 RD 方面的动作，FD 方面创建的较多

太长，省略部分



WScript.exe
[EXECUTE]                               2009.10.03 17:37:29
[ALLOW]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[FROM]                                  C:\Program Files\WinRAR\WinRAR.exe
                                        Command Line:"C:\Program Files\WinRAR\WinRAR.exe"


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:39
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:41
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:43
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:44
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:47
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:48
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:50
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:51
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:52
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:53
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:54
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:55
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control


WScript.exe
[OLE/DDE CONTROL]                       2009.10.03 17:37:59
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             C:\WINDOWS\System32\svchost.exe
                                        Control Type: OLE Control



WScript.exe
[CREATE FILE]                           2009.10.03 17:38:31
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: D:\
                                        File: 1455278548.vbs


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:32
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: D:\
                                        File: Program Files.lnk


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:36
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: D:\
                                        File: RECYCLER.lnk


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:37
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: D:\
                                        File: System Volume Information.lnk


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:38
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: D:\
                                        File: vod_cache_data.lnk


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:40
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: E:\
                                        File: 334488455.vbs


WScript.exe
[CREATE FILE]                           2009.10.03 17:38:40
[BLOCK]                                 C:\WINDOWS\System32\WScript.exe
                                        Command Line:"C:\WINDOWS\System32\WScript.exe" "F:\Once\Virus\1918142119\1918142119.vbs"
[ACCESS TO]                             Folder: E:\
                                        File: AutoRun.inf

sam.to

to kl,ll,eset,comodo,antivir


https://www.virustotal.com/anali ... 559b79bd-1254563296

http://virscan.org/report/b0145bc00ada18bf953c4b0f3705cf4d.html

The file '1918142119.vbs2' has been determined to be 'UNDER ANALYSIS'.

http://sample.nod32.com.hk/index ... 732425540cc4a6f6cc5

[ 本帖最后由 sam.to 于 2009-10-3 17:50 编辑 ]

winxp0286

解压后。什么也没有看见。。

HIPS没报。

红伞无响应。

avast! 没反应。。。不知道是不是空的。

winxp0286

有啥动作？啥行为啊？

Beloved

原帖由 winxp0286 于 2009-10-3 18:00 发表
解压后。什么也没有看见。。

HIPS没报。

红伞无响应。

avast! 没反应。。。不知道是不是空的。

用 WinRAR 就看到有样本了、、、、、

行云流水001

avast秒个鸟啊，我直接查杀avast都不报啊，我的小a今天怎么啥也不报啊...........

winxp0286

好像在我的计算机上没有任何动作。。我运行了。。结果并没有像楼主所说的哪种症状。。奇怪。。没有隐藏盘符。没有生存autorun.inf.难道是被免疚了？

DoctorL

MP配SB