收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 病毒，自己看，小心啊
123456下一页
返回列表 发新帖
楼主: jy00147725
 收起左侧

[病毒样本] 病毒，自己看，小心啊

  [复制链接]
drwyk
发表于 2011-2-10 16:09:02 | 显示全部楼层
AVG没反应，浏览器火狐打开，乱码。
回复

举报

秋$风
发表于 2011-2-10 16:23:58 | 显示全部楼层
ess kill
回复

举报

xwhmm
头像被屏蔽
发表于 2011-2-10 16:33:51 | 显示全部楼层
Warning

--------------------------------------------------------------------------------

In order not to compromise your security, this page will not be accessed


A virus or unwanted program has been detected
in the HTTP data on the requested page.

--------------------------------------------------------------------------------

Requested URL: http://bbs.kafan.cn/forum-attach ... Q4MjIwNw%3D%3D.html
Information Is the TR/Inject.F.1 Trojan


--------------------------------------------------------------------------------

Generated by AntiVir WebGuard 9.0.5.0, AVE 8.2.4.162, VDF 7.11.3.32
回复

举报

英仔
发表于 2011-2-10 19:19:58 | 显示全部楼层
文件的位置: C:\PROGRAM FILES\COMMON FILES\ARSWP3.EXE
<启动方式>  :  不能自动启动
<当前状态>  :  文件已被删除

运行次数    :  2     首次运行 : 2011-02-10 19:16:41     最近运行 : 2011-02-10 19:16:42

     文件传递和复制记录:
-------------------------------------------------------------

    时    间 :    2-10 19:16:44
    执 行 者 :   C:\PROGRAM FILES\COMMON FILES\ARSWP3.EXE
    动作说明 :   疑似复制
    源 文 件 :   C:\WINDOWS\WIN.INI
    目标文件 :   C:\WINDOWS\SYSTEM32\KWOUYT.DLL

    时    间 :    2-10 19:16:44
    执 行 者 :   C:\PROGRAM FILES\COMMON FILES\ARSWP3.EXE
    动作说明 :   疑似复制
    源 文 件 :   C:\WINDOWS\WIN.INI
    目标文件 :   C:\WINDOWS\SYSTEM32\KWOUYT.DLL

     运行记录:
-------------------------------------------------------------

         启动时间: 2011-02-10 19:16:41
         启 动 者: C:\WINDOWS\DOWNLOADED PROGRAM FILES\MSN.EXE
         启动参数: API 方式加载

         启动时间: 2011-02-10 19:16:42
         启 动 者: C:\WINDOWS\DOWNLOADED PROGRAM FILES\MSN.EXE
         启动参数:  C:\Program Files\Common Files\ArSwp3.exe  

     文件变更过程:
-------------------------------------------------------------

         操 作 者   :   C:\WINDOWS\DOWNLOADED PROGRAM FILES\MSN.EXE
         操作时间   :   2011-02-10 19:16:40
         操作类型   :   新建

         操 作 者   :   C:\PROGRAM FILES\COMMON FILES\ARSWP3.EXE
         操作时间   :   2011-02-10 19:16:44
         操作类型   :   删除

         操 作 者   :   C:\PROGRAM FILES\E-SCOUT\EST02009.EXE
         操作时间   :   2011-02-10 19:16:57
         操作类型   :   删除

         操 作 者   :   C:\PROGRAM FILES\E-SCOUT\EST02009.EXE
         操作时间   :   2011-02-10 19:17:00
         操作类型   :   删除

         操 作 者   :   C:\PROGRAM FILES\E-SCOUT\EST02009.EXE
         操作时间   :   2011-02-10 19:17:00
         操作类型   :   删除

         操 作 者   :   C:\PROGRAM FILES\E-SCOUT\EST02009.EXE
         操作时间   :   2011-02-10 19:17:00
         操作类型   :   删除

     该程序操作的文件(共7)
-------------------------------------------------------------

         文 件 名   :   C:\WINDOWS\WIN.INI
         时    间   :   2011-02-10 19:16:42
         动    作   :   删除

         文 件 名   :   C:\WINDOWS\WIN.INI
         时    间   :   2011-02-10 19:16:42
         动    作   :   新建

         文 件 名   :   C:\WINDOWS\WIN.INI
         时    间   :   2011-02-10 19:16:42
         动    作   :   删除

         文 件 名   :   C:\WINDOWS\WIN.INI
         时    间   :   2011-02-10 19:16:42
         动    作   :   新建

         文 件 名   :   C:\WINDOWS\WIN.INI
         时    间   :   2011-02-10 19:16:42
         动    作   :   删除

         文 件 名   :   C:\WINDOWS\SYSTEM32\KWOUYT.DLL
         时    间   :   2011-02-10 19:16:44
         动    作   :   新建

         文 件 名   :   C:\PROGRAM FILES\COMMON FILES\ARSWP3.EXE
         时    间   :   2011-02-10 19:16:44
         动    作   :   删除


     该文件运行的所有程序:
-------------------------------------------------------------

         程序路径 : C:\PROGRAM FILES\KINGSOFT\WEBSHIELD\KSWEBSHIELD.DLL
         运行时间 : 2011-02-10 19:16:42
         运行参数 : API 方式加载

         程序路径 : C:\PROGRAM FILES\KINGSOFT\WEBSHIELD\KWSUI.DLL
         运行时间 : 2011-02-10 19:16:42
         运行参数 : API 方式加载

     注册表操作(共4)
-------------------------------------------------------------

         操 作 时 间    :   2011-02-10 19:16:43
         行       为    :   添加
         键       值    :   HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\\XD43OA\
         值       名    :   Description
         类       型    :   REG_SZ
         旧       值    :   
         新       值    :   wqwq是监视硬件设备并自动更新设备驱动。

         操 作 时 间    :   2011-02-10 19:16:43
         行       为    :   添加
         键       值    :   HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\\XD43OA\PARAMETERS\
         值       名    :   ServiceDll
         类       型    :   REG_SZ
         旧       值    :   
         新       值    :   C:\WINDOWS\system32\KWOUYt.dll

         操 作 时 间    :   2011-02-10 19:16:44
         行       为    :   添加
         键       值    :   HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\XD43OA\
         值       名    :   InstallModule
         类       型    :   REG_SZ
         旧       值    :   
         新       值    :   C:\Program Files\Common Files\ArSwp3.exe

         操 作 时 间    :   2011-02-10 19:16:44
         行       为    :   添加
         键       值    :   HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\XD43OA\
         值       名    :   ConnectGroup
         类       型    :   REG_SZ
         旧       值    :   
         新       值    :   多多都中
回复

举报

Tron
头像被屏蔽
发表于 2011-2-10 20:01:37 | 显示全部楼层
木马通过chm下载并生成48MB的MSN.exe到download program files目录下并运行
运行后木马释放arwsp3.exe到 common files目录下
arwsp3.exe释放 c:\qqgamedl.exe , 这是QQ的正常文件
arwsp3.exe再次释放c:\factory.dll,这是qqgamedl.exe需要加载的DLL， 是木马的恶意程序，木马通过这种劫持方式来试图达到可信进程运行恶意DLL的目的
木马同时会通过BlockInput锁定键盘鼠标，并释放一个black.scr来模拟游戏黑屏状态来绕过360主防，不过是无效的
木马同时会通过模拟按键模拟用户手动运行qqgamedl.exe,对360主防无效。
qqgamedl.exe运行后，其加载的Factory.dll会生成一个服务，并以svchost.exe为宿主运行。
回复

举报

zhuyifan2007
发表于 2011-2-10 23:41:22 | 显示全部楼层
回复 17楼 solstice1988 的帖子

你的签名貌似是云天河的话
回复

举报

solstice1988
发表于 2011-2-10 23:47:24 | 显示全部楼层
回复 46楼 zhuyifan2007 的帖子

晕……你再百度一下吧～
回复

举报

360技师
发表于 2011-2-11 20:21:28 | 显示全部楼层
360杀毒扫描日志

病毒库版本：6682614
扫描时间：2011-02-11 20:18:31
扫描用时：00:00:22
扫描类型：右键扫描
扫描文件总数：19
威胁总数：2

扫描选项
----------------------
扫描所有文件：是
扫描压缩包：是
发现病毒处理方式：通知用户
扫描系统内存：是
扫描磁盘引导区：是
扫描 Rootkit：是
使用QVM启发式引擎：是

扫描内容
----------------------
E:\360data\重要数据\桌面\帐号资料密保卡.chm


白名单设置
----------------------


扫描结果
======================
病毒扫描结果
----------------------
E:\360data\重要数据\桌面\帐号资料密保卡.chm=>msn.exe        游戏盗号木马(Trojan.Generic)        已删除
E:\360data\重要数据\桌面\帐号资料密保卡.chm=>msn.exe=>arswp3.exe        恶意程序(Malware.QVM07.Gen)        已删除
360
回复

举报

hddu
发表于 2011-2-11 21:00:26 | 显示全部楼层
2011-02-11 20:57:05    创建文件      操作:允许
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\HTML Help\hhcolreg.dat
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-02-11 20:57:05    创建文件      操作:允许
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\All Users\Application Data\Microsoft\HTML Help\hhcolreg.dat
触发规则:所有程序规则->Documents and Settings设置（二）->?:\Documents and Settings\*\Application Data\*


2011-02-11 20:57:06    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NMC1F5VH\msn[1].exe
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\Content.IE5\*.exe


2011-02-11 20:57:06    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NMC1F5VH\msn[1].exe
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\Content.IE5\*.exe


2011-02-11 20:58:21    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NMC1F5VH\msn[1].exe
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\Content.IE5\*.exe


2011-02-11 20:58:21    创建文件      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\hh.exe
文件路径:C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\NMC1F5VH\msn[1].exe
触发规则:应用程序规则->WINDOWS文件设置->%windir%\*->?:\Documents and Settings\*\Local Settings\Temporary Internet Files\Content.IE5\*.exe


回复

举报

ruji_e
发表于 2011-3-31 18:16:30 | 显示全部楼层
没事啊
回复

举报

下一页 »
123456下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2025-6-14 18:00 , Processed in 0.208602 second(s), 15 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表