请大家帮忙看看这个驱动是否有恶意行为

darkwolf_99

用XueTr看驱动模块，发现加载了这个驱动——“C:\Windows\aQaaMEaa\lzazmzz\IaIXA.sys　　　文件未找到”，明显是加载后已经被删除，而且每次开机后的路径和名称都不同，都是随机的

附件里是用XueTr“拷贝模块内存”导出的驱动文件，请大家帮忙看看。在线已经查过，所有杀软不报






主体在这里，是冰冻精灵，一款影子系统软件，只是觉得这个驱动很奇怪，其它影子都不会用这种方式

http://u.115.com/file/f49c5efe8e

留侯

大蜘蛛clean，加了个壳：/IaIXA.sys packed by FLY-CODE
非母体，单独一个文件恐怕难以分析吧！

yaoyaopig

扫描报告
2010年12月30日 11:53:27 - 11:53:27

计算机名称:~~~~~~~~~~~~~
扫描类型: 扫描指定目标
目标: D:\我的文档\下载\IaIXA.rar
结果
没发现恶意软件

统计信息
已扫描:

    * 文件: 2
    * 未扫描: 0

结果:

    * 病毒: 0
    * 间谍软件: 0
    * 可疑项目: 0
    * 危险软件: 0

操作:

    * 已杀毒: 0
    * 已重命名: 0
    * 删除: 0
    * 已隔离: 0
    * 失败: 0

引导区:

    * 已扫描: 0
    * 受感染: 0
    * 可疑项目: 0
    * 已杀毒: 0

选项
病毒库版本:

    * 病毒: 2010-12-30_02
    * 间谍软件: 2010-12-30_02

扫描引擎：

    * F-Secure Aquarius: 11.00.00, 2010-12-30
    * F-Secure Hydra: 5.02.15, 2010-12-30
    * F-Secure Gemini: 3.01.32, 2010-11-26

扫描选项：

    * 扫描指定类型的文件： ANI ASP AX BAT BIN BOO CHM CMD COM CPL DLL DOC DOT DRV EML EXE HLP HTA HTM HTML HTT INF INI JOB JS JSE LNK LSP MDB MHT MPP MPT MSG MSO OCX PDF PHP PIF POT PPT RTF SCR SHS SWF SYS TD0 VBE VBS VXD WBK WMA WMV WMF WSC WSF WSH WRI XLS XLT XML ZIP JAR ARJ LZH TAR TGZ GZ CAB RAR BZ2 HQX
    * 扫描压缩文件内部

操作:

    * 病毒: 扫描后询问
    * 间谍软件: 扫描后询问

      版权 © 1998-2010 产品支持 | 发送病毒样本到 F-Secure
      对于 F-Secure 官方页面上所链接的由第三方创建和发布的材料， F-Secure 不承担任何责任。除非已通过电子邮件或 F-Secure CGI 电子邮件向任一台服务器提交材料以清楚说明情况，除非您明确表示(如使用电子邮件或通过我们的 F-Secure CGI 电子邮件)，通过 F-Secure 官方页面或硬拷贝发布已有的材料。 单击带下划线的链接，可访问 F-Secure 公共网站。此时，系统会在专用访问统计信息中用域名记录您的访问。此信息不会提供给任何第三方。您同意不针对所提交的材料向我们提出诉讼。除非您已明确说明，否则应提交材料以保证 F-Secure 针对可能在 F-Secure 产品/出版物中采用的概念，不承担任何责任。

darkwolf_99

回复 2楼 留侯 的帖子

已经把主体加上

留侯

既然是冰冻精灵，我想应该是没有问题的，大蜘蛛检测也是clean。
一些软件卸载之后，的确会有残余文件留存，小红伞卸载之后，也存在驱动程序留存的情况，并不会给系统造成问题。

darkwolf_99

回复 5楼 留侯 的帖子

这个不是卸载后的残余哦，装了冰冻精灵才会有，卸载冰冻精灵后即消失

留侯

回复 6楼 darkwolf_99 的帖子

那就更加对咯！影子系统安装之后加驱的动作是比较常见的，我想您没有必要太多的担心。

3好流氓

KIS安静

wulongxiang2009

应该没问题

nazisoft

要相信冰冻精灵作者的人品