一个基于autorun.pif的U盘型病毒样本，卡巴检测不到

kane_9909

中毒以后会在C:\和所有可移动磁盘下生成autorun.inf和autorun.pif文件，在C:\WINDOWS\生成DLLHOST.EXE文件，每次开机都自动运行，在进程管理里面杀掉会自动再次启动，造成卡巴无法开机自动启动（可以手动启）。如果直接打开带毒盘则会扩散，用命令行模式和资源管理器的文件夹树打开不会自动运行。可以在安全模式手动删除上述文件，并且现在看来好像没有复发。不知道还有没有问题。在等病毒库更新再杀一遍试试。

jimmyleo

AntiVir  Found nothing
ArcaVir  Found nothing
Avast  Found nothing
AVG Antivirus  Found nothing
BitDefender  Found Generic.Malware.FPYdPk.473DB4AB  
ClamAV  Found nothing
Dr.Web  Found nothing
F-Prot Antivirus  Found Possibly a new variant of W32/PWStealer.gen1  
F-Secure Anti-Virus  Found nothing
Fortinet  Found nothing
Kaspersky Anti-Virus  Found nothing
NOD32  Found nothing
Norman Virus Control  Found nothing
Panda Antivirus  Found nothing
Rising Antivirus  Found nothing
VirusBuster  Found Packed/NSPack  
VBA32  Found nothing

kane_9909

bak是我改的名字，原名是前面那样的。

jimmyleo

antivir MISS

kane_9909

ls说的是病毒名字吗？是什么时候的病毒库？我的扫不出来，3-31：12：23的

jlennon

12

欠妳緈諨

金山居然雄起了

kane_9909

会生成一个COM+ System Applications的系统服务，禁用掉就不会自启动了。正常的服务名称是COM+ System Application，调用c:\windows\system32\dllhost.exe

kane_9909

在HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters
\FirewallPolicy\StandardProfile\AuthorizedAppl\List\生成一个C:\WINDOWS\dllhost.exe的键值，不知道是什么用的，猜测是使得进程管理无法中止病毒进程。

mofunzone

运行后antivir搞定。。
AntiVir         Found HEUR/Crypted.E
ArcaVir         Found nothing
Avast         Found nothing
AVG Antivirus         Found nothing
BitDefender         Found Generic.Malware.FPYdPk.473DB4AB
ClamAV         Found nothing
Dr.Web         Found nothing
F-Prot Antivirus         Found Possibly a new variant of W32/PWStealer.gen1
F-Secure Anti-Virus         Found nothing
Fortinet         Found nothing
Kaspersky Anti-Virus         Found nothing
NOD32         Found nothing
Norman Virus Control         Found nothing
Panda Antivirus         Found nothing
Rising Antivirus         Found nothing
VirusBuster         Found Packed/NSPack
VBA32         Found nothing

[ 本帖最后由 mofunzone 于 2007-3-30 22:51 编辑 ]