过所有杀软的一款恶意软件，也可能是木马（如灰鸽子）

Hacker29cn

最近安装了一款叫做俄罗斯方块的程序，结果主页被修改，同时加载项多了两项。而且在系统启动时启动一个叫做DXSetup的程序，系统变慢，鼠标轻微失去控制。在C:\Documents and Settings\用户名\Application Data下释放DXsetup RUNDLL 和一个命名为V的不明文件，现在请大家小心测试，该款恶意软件已经过了所有杀软：http://www.virscan.org/report/878750259b2e01d4cfffe99c8628b165.html

必须安装才能看出其恶意行为，就本文件似乎看不出异常。各位小心，谢谢！请大家帮忙看看，感激



可能是这个样本，我估计传错了，真对不起各位，对不起！



如果提取不全，请直接下载即可：
http://www.game2.in/2010010631.php?id=1&sn=2010010631.rar
就是这个恶意程序



再次感谢大家的热心！

username

2010-1-9 12:39:48    创建文件    允许
进程: d:\emule\eluosujiejke\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsb34.tmp\eluosujiejke.exe
规则: [文件组][A]所有执行文件_ -> [文件]*; *.exe

2010-1-9 12:39:49    创建新进程    允许
进程: d:\emule\eluosujiejke\eluosujiejke.exe
目标: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
命令行: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsb34.tmp\eluosujiejke.exe
规则: [应用程序]*

2010-1-9 12:39:53    创建文件    允许
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsh36.tmp\InstallOptions.dll
规则: [文件组][A]所有执行文件_ -> [文件]*; *.dll

2010-1-9 12:40:08    创建文件夹    允许
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: D:\eMule\eluosujiejke\俄罗斯方块
规则: [文件]*

2010-1-9 12:40:11    创建文件夹    阻止
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Start Menu\Programs\俄罗斯方块
规则: [文件]*

2010-1-9 12:40:13    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Desktop\俄罗斯方块.lnk
规则: [文件]*

2010-1-9 12:40:14    创建文件    阻止
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Desktop\俄罗斯方块 Help.lnk
规则: [文件]*

2010-1-9 12:40:14    创建注册表项    阻止
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\App Paths\hyfk.exe
规则: [注册表组]文件关联设置 -> [注册表]*\SOFTWARE\Microsoft\Window*\CurrentVersion\App Paths*

2010-1-9 12:40:14    创建注册表项    阻止
进程: c:\documents and settings\administrator\local settings\temp\nsb34.tmp\eluosujiejke.exe
目标: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\hyfk.exe
规则: [注册表组]文件关联设置 -> [注册表]*\SOFTWARE\Microsoft\Window*\CurrentVersion\App Paths*

2010-1-9 12:40:20    删除文件    允许
进程: d:\emule\eluosujiejke\eluosujiejke.exe
目标: C:\Documents and Settings\Administrator\Local Settings\Temp\nsb34.tmp\eluosujiejke.exe
规则: [文件组][A]所有执行文件_ -> [文件]*; *.exe

没毒
lz没搞错？

post8

not virus

yanyu3000

有那么厉害吗？

username

Hacker29cn

奇怪，为什么用沙盘没有发现修改主页和释放异常文件的记录，但实际安装后重启就会异常？

Hacker29cn

回复 2# username

我在沙盘也没发现什么，但是一重启就不同了，主页立即变成054.com。同时桌面多出IE6的图标，原来IE8就消失了

username

5l的图已是重启后的
你也是用虚拟机试的？

scottxzt

没发现恶意动作，安装在VISTA中失败

Hacker29cn

回复 8# username

我是实机测试的，其实我发现可能您的系统已经被感染了，请看看您的IE图标，右击一下，好像已经被修改了啊。