8%的杀软(3/37)报告发现病毒。。。样本在3楼

小飞侠.net

天天下载站的winrar被重新打包了？

经测试，在选中电信1

文件: D:\TDDOWNLOAD\WinRAR390_正式版_集成美化皮肤正版KEY.exe
大小: 2116992 字节
修改时间: 2009年10月22日, 14:14:02
MD5: DB899C0E56346AE1545CD26F1D249B49
SHA1: 37C772707D1E654EA9957DAAAE4BAF4F89769809
CRC32: 492F4247

下载后，我手上费尔也报

费尔
        2009-10-22 14:14:30        Trojan.Pasta.xk.quph        木马        Administrator        D:\TDDOWNLOAD\WinRAR390_正式版_集成美化皮肤正版KEY.exe        Realtime scan


样本下载：ht  tp://www.ttdown.com/Soft/38664.html

[ 本帖最后由 小飞侠.net 于 2009-10-22 15:43 编辑 ]

hddu

运行后，除了向%ProgramFiles%文件夹写入正常文件外，还向WINDOWS文件夹写入可疑dll文件。怀疑是重新打包了

2009-10-22 15:00:10    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*

2009-10-22 15:00:11    创建注册表值      操作:阻止
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Session Manager
注册表名称:PendingFileRenameOperations
触发规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\SYSTEM\*ControlSet*\Control\Session Manager

2009-10-22 15:00:18    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR\Rar.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*.exe

2009-10-22 15:00:20    创建文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR\RarExtLoader.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*.exe

2009-10-22 15:00:22    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR\Uninstall.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*.exe

2009-10-22 15:00:24    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR\UnRAR.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*.exe

2009-10-22 15:00:25    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator\Local Settings\Temp\WinRAR390.exe
文件路径:C:\Program Files\WinRAR\WinRAR.exe
触发规则:所有程序规则->%ProgramFiles%文件夹设置->%ProgramFiles%\*.exe

2009-10-22 15:00:36    创建文件      操作:阻止
进程路径:E:\WinRAR390_正式版_集成美化皮肤正版KEY.exe
文件路径:C:\WINDOWS\system32\qzone.dll
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.dll

2009-10-22 15:00:38    创建文件      操作:阻止
进程路径:E:\WinRAR390_正式版_集成美化皮肤正版KEY.exe
文件路径:C:\WINDOWS\system32\360SH.dll
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.dll

小飞侠.net

原帖由 hddu 于 2009-10-22 15:07 发表
运行后，除了向%ProgramFiles%文件夹写入正常文件外，还向WINDOWS文件夹写入可疑dll文件。怀疑是重新打包了

2009-10-22 15:00:10    修改文件      操作:允许
进程路径:C:\Documents and Settings\Administrator ...

VirSCAN.org Scanned Report :
Scanned time   : 2009/10/22 14:27:22 (CST)
Scanner results: 8%的杀软(3/37)报告发现病毒
File Name      : WinRAR390_正式版_集成美化皮肤正版KEY.exe
File Size      : 2116992 byte
File Type      : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5            : db899c0e56346ae1545cd26f1d249b49
SHA1           : 37c772707d1e654ea9957daaae4baf4f89769809
Online report  : ht tp://virscan.org/report/cbae41a66ae8cc3470ce42540d833211.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      4.5.0.8         20091022000136    2009-10-22  7.29   Trojan.Win32.Pasta.up!A2
安博士V3       2009.10.22.01   2009.10.22        2009-10-22  0.84   -
AntiVir        8.2.1.42        7.1.6.134         2009-10-21  1.75   -
安天           2.0.18          20091021.3035331  2009-10-21  0.12   Trojan/Win32.Pasta.up
Arcavir        2009            200910201017      2009-10-20  1.99   -
Authentium     5.1.1           200910211735      2009-10-21  1.32   -
AVAST!         4.7.4           091021-0          2009-10-21  1.08   -
AVG            8.5.288         270.14.25/2450    2009-10-22  11.92  -
BitDefender    7.81008.4438645 7.28484           2009-10-22  6.27   -
CA (VET)       9.0.0.143       35.1.7078         2009-10-22  6.44   -
ClamAV         0.95.2          9920              2009-10-21  0.00   -
Comodo         3.12            2687              2009-10-22  0.83   -
CP Secure      1.3.0.5         2009.10.22        2009-10-22  0.45   -
Dr.Web         4.44.0.9170     2009.10.21        2009-10-21  12.07  -
F-Prot         4.4.4.56        20091021          2009-10-21  1.30   -
F-Secure       7.02.73807      2009.10.22.05     2009-10-22  17.48  -
飞塔           2.81-3.120      10.972            2009-10-21  0.31   -
GData          19.8524/19.518  20091022          2009-10-22  8.48   -
ViRobot        20091021        2009.10.21        2009-10-21  0.43   -
Ikarus         T3.1.01.72      2009.10.22.74225  2009-10-22  11.04  -
江民杀毒       11.0.800        2009.10.22        2009-10-22  4.60   Trojan/Pasta.je
卡巴斯基       5.5.10          2009.10.22        2009-10-22  4.53   -
金山毒霸       2009.2.5.15     2009.10.22.7      2009-10-22  0.55   -
迈克菲         5.3.00          5778              2009-10-21  3.38   -
Microsoft      1.5202          2009.10.22        2009-10-22  18.20  -
Norman         6.01.09         6.01.00           2009-10-21  4.01   -
熊猫卫士       9.05.01         2009.10.20        2009-10-20  0.60   -
趋势科技       8.700-1004      6.569.00          2009-10-21  1.04   -
Quick Heal     10.00           2009.10.22        2009-10-22  1.85   -
瑞星           20.0            21.52.30.00       2009-10-22  4.54   -
Sophos         3.00.1          4.46              2009-10-22  2.77   -
Sunbelt        5462            5462              2009-10-21  10.16  -
赛门铁克       1.3.0.24        20091021.002      2009-10-21  0.69   -
nProtect       20091021.02     5952698           2009-10-21  13.32  -
The Hacker     6.5.0.2         v00050            2009-10-21  0.80   -
VBA32          3.12.10.11      20091021.1834     2009-10-21  4.47   -
VirusBuster    4.5.11.10       10.112.75/2012369 2009-10-21  7.06   -

其它结果：
ht tp://www.virustotal.com/zh-cn/analisis/20a8389f61542105938a11f602c66ae4c98519172bae576815dff079275b743e-1256193279
ht tp://virusscan.jotti.org/en/scanresult/d993de35c15aa3de6064b77e41c48b1cae5b2bd1

[ 本帖最后由 小飞侠.net 于 2009-10-22 15:42 编辑 ]

小飞侠.net

Hello,


WinRAR390_???_????????KEY.exe

No malicious code was found in this file.

> 解压密码：virus
> Decompression Password：virus
>
Please quote all when answering.
-----------------
Regards, Davidow Dmitriy
Virus Analyst, Kaspersky Lab.
懂的帮我重新上报一下了。

killloop

人妖重现江湖


ttdown是过去式了，赚了80万开始3DDOWN了。

[ 本帖最后由 killloop 于 2009-10-22 18:21 编辑 ]

小飞侠.net

文件名：d:\tddownload\winrar390_正式版_集成美化皮肤正版key.exe
安全等级：无威胁文件
文件大小：2.01MB
出品公司：
文件描述：
MD5：db899c0e56346ae1545cd26f1d249b49
贝壳木马专杀版本：1.0.2879.157

killloop

我说的你是人妖的。

小飞侠.net

原帖由 killloop 于 2009-10-22 18:27 发表
我说的你是人妖的。

？？你是谁，你如何确认我是男，还是女？

killloop

我以前查过你，虽然在某些地方留下的图片 背景给人是少女的感觉，其实你是一个27岁左右的老爷们。

小飞侠.net

原帖由 killloop 于 2009-10-22 18:53 发表
我以前查过你，虽然在某些地方留下的图片 背景给人是少女的感觉，其实你是一个27岁左右的老爷们。

扣-5分

PS：果然是金山坛子的老人。