奇怪的一个样本

dikex

运行那个a.exe后会%temp%目录下生成一个tmp文件；

过了几分钟才开始活动，在a.exe的目录下生成1.exe、main.exe和c.bat，并运行1.exe和main.exe；

main.exe会在%TEMP%目录下生成rundl132和Rav20.dll，并在注册表HKCU\Software\Microsoft\Windows\CurrentVersion\Run\生成启动一个随机名字的启动项，内容是C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\rundl132.exe；

接着a.exe和main.exe的进程退出，1.exe调用c.bat把a.exe和c.bat都删除，利用explorer.exe删除main.exe；

又过了N分钟，1.exe创建了一个bxe.bat，等1.exe进程结束后把两个都删除了；

途中在%temp%生成并删除了几个tmp文件，略去……

看上去像是一个下载者做的事情，下载文件后删除自己，但奇怪的是这个并不是下载者，没有监控到它下载文件的迹象，大费周章弄了这么多东西就是为了生成rundl132（事实证明它和main.exe是同一个文件）和Rav20.dll并添加一个垃圾启动项，无语了……


样本密码virus

The EQs

nod32飘过。。。。

aoyang

太BT了
第2个图，它还在疯狂的感染，我给了它5分钟时间表演。实在是受不了了，我把A。EXE进程终止以后就停止了。

dikex

原帖由 aoyang 于 2007-4-19 16:21 发表
太BT了
第2个图，它还在疯狂的感染，我给了它5分钟时间表演。实在是受不了了，我把A。EXE进程终止以后就停止了。

貌似不是感染……
main.exe是它释放出来的……而且最后main.exe会被删除

aoyang

原帖由 dikex 于 2007-4-19 16:33 发表



貌似不是感染……
main.exe是它释放出来的……而且最后main.exe会被删除

嗯，没感染。只是太BT了，有点疯狂，我的老爷机都受不了了，卡得要死。
我用费尔清理了10分钟才清理完。如果不终止它，它还会继续。。。。不知道要释放多少。刚才才5分钟时间不到就释放了17000多。。。。

dikex

原帖由 aoyang 于 2007-4-19 16:36 发表

嗯，没感染。只是太BT了，有点疯狂，我的老爷机都受不了了，卡得要死。
我用费尔清理了10分钟才清理完。如果不终止它，它还会继续。。。。不知道要释放多少。刚才才5分钟时间不到就释放了17000多。。。。

我想正是由于你的费尔才清理才会导致这么卡的，因为人家刚生成文件还在往里面写入数据时你的费尔就把它清理了，于是它就以为时出错尔继续的写下去，形成一个循环……

我测试时它很快的生成了mian.exe，整个过程很顺利

aoyang

用卡巴的、cyberhawk、咖啡、微点的都来试一下，看有什么不同的反应

tracydk

我的AVAST没报

aoyang

原帖由 dikex 于 2007-4-19 16:41 发表


我想正是由于你的费尔才清理才会导致这么卡的，因为人家刚生成文件还在往里面写入数据时你的费尔就把它清理了，于是它就以为时出错尔继续的写下去，形成一个循环……

我测试时它很快的生成了mian.exe，整 ...

样本生成的文件，费尔不会清除，而是终止它不让它发作，并提示报警拦截和是否清除（这类型的不能自动清除，都是拦截终止，要清除就要自己手动按那个清除按纽，我按回车键一直按了7分钟才搞定）清理垃圾的过程一点不卡，拦截终止的时候太卡了。
以后不玩了，差点没把我卡死。就象用卡巴全盘扫描一样，什么事情也做不了。

shmily512099

运行了会才开始动作。。。。。。。。  不过没出现卡的现象！