卡巴不报瑞星报

显示全部楼层 · 发表于 2007-4-16 20:36:28

SVOHOST.EXE;E:\SVOHOST[1];Trojan.Shua;Deleted.;

显示全部楼层 · 发表于 2007-4-16 21:00:47

为什么不用PGP？

[ 本帖最后由 jlennon 于 2007-4-16 21:10 编辑 ]

显示全部楼层 · 发表于 2007-4-16 21:06:44

如果有人看见这个软件的话，还是不要下了。此软件貌似木马，不易删除，加密也不安全，只不过是把东西放进回收站隐藏起来罢了。

软件安装后会修改注册表中userinit.exe的项目而不是设置自己的独立注册表项，这样可以开机后立即运行。软件的主程序名叫svohost.exe，就是要装扮成关键进程svchost.exe，让不小心的人删不了。

其所谓的“加密”过程如下：

取回收站目录: F:\RECYCLER\
生成文件名: F:\RECYCLED\desktop.ini,隐藏,系统文件,文件内容如下:
'[.ShellClassInfo]CLSID={645FF040-5081-101B-9F08-00AA002F954E}'

建立目录: 'S-1-5-21-1060284298-811497611-11778920086-500'
生成文件名: F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\desktop.ini
建立目录: F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\INFO2\
建立目录: F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\INFO2\Di1 \com1.{21ec2020-3aea-1069-a2dd-08002b30309d}\
查找文件是否存在(文件目录是否加密过): F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\INFO2\Di1 \com1.{21ec2020-3aea-1069-a2dd-08002b30309d}\Support.mem 其它Support为加密的目录名
取Support的ASCII码"537570706F7274"
建立目录: F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\INFO2\Di1 \com1.{21ec2020-3aea-1069-a2dd-08002b30309d}\537570706F7274"
移动文件: F:\Support\* 到F:\RECYCLED\S-1-5-21-1060284298-811497611-11778920086-500\INFO2\Di1 \com1.{21ec2020-3aea-1069-a2dd-08002b30309d}\537570706F7274"
生成文件名: F:\Support|.mem 表示F:\Support目录加密,mem为加密类型
生成加密记录文件名: "C:\WINNT\system32\danine.dll"
写入加密记录到加密记录文件: 向C:\WINNT\system32\danine.dll中写入F:\Support|.mem
生成加密记录文件名: "应用程序目录\danine.dll"
写入加密记录到加密记录文件: 向应用程序目录\danine.dll中写入F:\Support|.mem
生成文件: F:\Support.mem 用于解密文件目录.
mem文件,显示的图标为文件夹,打开文件类型查看后发现:
注册的文件类型:.me0-.me25,.mem 这些文件的打开方式为:"应用程序目录\SVOHOST.EXE" unlock "%1"
最后,用户在F:\看到了Support.mem,其实是一个文件并不是目录!

显示全部楼层 · 发表于 2007-4-16 21:40:24

除了想在system32目录下创建一个danine.dll以外不见任何怪异举动，ESS执行前后不报

显示全部楼层 · 发表于 2007-4-16 22:04:44

驱逐舰报

显示全部楼层 · 发表于 2007-4-16 22:54:33

Starting the file scan:

Begin scan in 'C:\Documents and Settings\morgan\My Documents\SVOHOST'
C:\Documents and Settings\morgan\My Documents\SVOHOST\
  SVOHOST.EXE
   [DETECTION] Contains signature of the application APPL/HideDir.B
   [INFO]    The file was deleted!

显示全部楼层 · 发表于 2007-4-17 02:38:46

好像是病毒哦一解压红伞就报了

显示全部楼层 · 发表于 2007-4-17 02:42:23

原帖由 atsjun 于 2007-4-17 04:08 发表
好像是病毒哦一解压红伞就报了

在样本区混久了你就会领悟到：红伞报的，未必就是毒

显示全部楼层 · 发表于 2007-4-17 08:23:38

好像是没有问题的
这个是卡巴俄罗斯总部的回复

Hello,

SVOHOST.exe_

No malicious code was found in this file.

Please quote all when answering.

[ 本帖最后由 200530040058 于 2007-4-17 08:25 编辑 ]

卡巴不报瑞星报

网上搜到的

浏览过的版块