76.335％的杀软挂掉

显示全部楼层 · 发表于 2007-5-14 18:14:41

误报，好像是QQ的什么升级程序来的

显示全部楼层 · 发表于 2007-5-14 18:30:30

jotti 上菜..

A-Squared  Found nothing
AntiVir  Found TR/Crypt.ULPM.Gen
ArcaVir  Found nothing
Avast  Found nothing
AVG Antivirus  Found nothing
BitDefender  Found nothing
ClamAV  Found Worm.Mytob.Crypt.Gen
Dr.Web  Found nothing
F-Prot Antivirus  Found nothing
F-Secure Anti-Virus  Found nothing
Fortinet  Found PossibleThreat
Kaspersky Anti-Virus  Found nothing
NOD32  Found nothing
Norman Virus Control  Found nothing
Panda Antivirus  Found nothing
Rising Antivirus  Found nothing
VirusBuster  Found Packed/Yoda
VBA32  Found nothing

显示全部楼层 · 发表于 2007-5-14 18:31:15

是病毒的

显示全部楼层 · 发表于 2007-5-14 18:49:32

原帖由 moonsilver 于 2007-5-14 20:01 发表
是病毒的

不知道是不是我的规则有问题，可是看不出什么威胁性举动

在system32目录下生成一个msinet.ocx，挂C:\WINDOWS\system32\msvbvm60.dll WH_MOUSE全局钩子，HKCR\CLSID下添加项目指向msinet.ocx，在自己的目录下创建config.xms，config.ldb，update.exe后执行update.exe，update.exe下载了
http://yz.tt86.com/xms/xinxi/V1.4.txt
http://down.tt86.com/xms/New_Update.exe
new_update.exe被保存在一样目录下，命名为“版本更新.exe”，执行后会修改原来的样本，并执行它。被修改的样本删除update.exe和版本更新.exe，打开浏览器指向http://www.tt86.com/New_xms.htm，system32目录下生成vslistview.ocx，再添加一个指向vslistview.ocx的注册表项目，最后弹出下面的窗口

是我的规则漏了，还是这样也算是病毒？

显示全部楼层 · 发表于 2007-5-14 21:40:46

报的全都在报壳。。。。鉴定完毕

显示全部楼层 · 发表于 2007-5-14 21:51:12

...要等高手来鉴定。。

显示全部楼层 · 发表于 2007-5-15 09:27:07

Hello.

It's clear.

Sincerely yours,
Pavel Zelensky
Virus analyst

Kaspersky Lab Ltd
Moscow, Russia
Tel/Fax: +7 (495) 797-8700
E-mail: newvirus@kaspersky.com
Internet: http://www.kaspersky.com, http://www.viruslist.com

> Attachment: $$$QQ?????.zip

显示全部楼层 · 发表于 2007-5-15 10:28:39

行为
时间: 2007-5-15 10:27:58
类型: 编辑一个文件
风险: 高

行为控制规则
名称:

程序
PID: 1820
PPID: 1796
UID: 446DC3AB34774F5\
文件: D:\QQ空间小秘书.EXE

对象
文件: C:\WINDOWS\SYSTEM32\MSINET.OCX

技术说明
系统文件，对Windows正常运行非常重要，被保存在WINDOWS和WINDOS\SYSTEM32文件夹内。不适当的更改或者不适当的用户行为可能会导致系统损坏。更改这些文件的只应该是Windows更新或者安装程序。所欲，如果你现在没有更新Windows，安装新程序，或者并不清楚这个程序，阻止更改这个文件

犀牛的看不出来什么只是提示风险高

[病毒样本] 76.335％的杀软挂掉

本帖子中包含更多资源