木马？

zelda1983

今天人家发我的号称是RO外挂的东西，结果KAV6扫了没事，装的时候生成1.exe微点报警了。
那个包大了一点点 偶发不上来  发个连接
www.   koreasy.   cn/vip.rar 前面有http://

[ 本帖最后由 zelda1983 于 2007-5-22 21:14 编辑 ]

zane_xzz

Begin scan in 'C:\Documents and Settings\Administrator\桌面\vip.rar'
C:\Documents and Settings\Administrator\桌面\vip.rar
  [0] Archive type: RAR
  --> vip\RO_KoreVIP.exe
      [DETECTION] Contains signature of the dropper DR/PcClient.Gen
      [WARNING]   The file was ignored!

mofunzone

扫描日志
NOD32版本 2279 (20070521) NT
命令行： C:\TDDOWNLOAD\vip.rar
正在检查NOD32.EXE文件的CRC：状态正常
D:\Eset\nod32.exe - 是正常的
扫描系统内存中：没有进行 (选项已关闭)
扫描MBR及引导区中：没有进行 (选项已关闭)
日期： 22.5.2007  时间：08:17:30
已关闭反隐藏功能.
已扫描的磁盘，文件夹及文件：C:\TDDOWNLOAD\vip.rar
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\AttackSkills.txt -  ?
?是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\Boss.wav - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\items.txt - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\jobs.txt - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\KeepStatus.txt -  ?
?是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\maps.txt - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\monsters.txt -  ?
?是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\MVP.ini - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\mvpmonsters.txt -  ?
?是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\skills.txt - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\data\users.ini - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\Desktop.ini - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\inject9X.dll - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\injectXP.dll - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\RO_KaneMVP_Demo.exe. ?
?manifest - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\RO_KoreVIP.exe - 是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\stlport_vc646.dll -  ?
?是正常的
C:\TDDOWNLOAD\vip.rar >>RAR >>vip\注册＆使用说明.txt -  ?
?是正常的
已扫描的文件数目：18
已发现的病毒数目：0
完成时间： 08:17:31 总扫描时间：1 秒 (00:00:01)


[Scan path] C:\TDDOWNLOAD\vip.rar
>C:\TDDOWNLOAD\vip.rar\vip\data\AttackSkills.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\Boss.wav - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\items.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\jobs.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\KeepStatus.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\maps.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\monsters.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\MVP.ini - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\mvpmonsters.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\skills.txt - Ok
>C:\TDDOWNLOAD\vip.rar\vip\data\users.ini - Ok
>C:\TDDOWNLOAD\vip.rar\vip\Desktop.ini - Ok
>C:\TDDOWNLOAD\vip.rar\vip\inject9X.dll - Ok
>C:\TDDOWNLOAD\vip.rar\vip\injectXP.dll - Ok
>C:\TDDOWNLOAD\vip.rar\vip\RO_KaneMVP_Demo.exe.manifest - Ok
>C:\TDDOWNLOAD\vip.rar\vip\RO_KoreVIP.exe infected with BackDoor.Winsta.origin
>C:\TDDOWNLOAD\vip.rar\vip\stlport_vc646.dll - Ok
>C:\TDDOWNLOAD\vip.rar\vip\注册＆使用说明.txt - Ok
C:\TDDOWNLOAD\vip.rar - archive contains infected objects

yzt1004

瑞星

miller239

恕小弟愚昧，运行了一下，看不到可疑的病毒木马行为。。
请高人指点。。

solcroft

原帖由 miller239 于 2007-5-23 01:17 发表
恕小弟愚昧，运行了一下，看不到可疑的病毒木马行为。。
请高人指点。。

运行后在临时文件夹解放了一个11.exe，这个11.exe在C:\Program Files\Common Files\Microsoft Shared\MSInfo目录下生成3个文件（dll+sys+drv）然后试图注入svchost.exe

mhj144007

變量下還寫入RO_KoreVIP.exe和1RO_KoreVIP.exe,11還會不停的連網

miller239

谢谢，昨晚还没有运行到这一步～
病毒倒不怕，最怕是正常文件，安装了一大堆没用的东西，删起来就觉得烦人。。

zelda1983

Hello,

11.exe_, ZXYHKZRX.DLL, ZXYHKZRX.DRV, ZXYHKZRX.SYS - Backdoor.Win32.PcClient.zb

New malicious software was found in these files. Detection will be included in the next update. Thank you for your help.

1RO_KOREVIP.exe_, RO_KOREVIP.exe_

No malicious code were found in these files.

Please quote all when answering.

--
Best regards, Yury Nesmachny
Virus analyst, Kaspersky Lab.
e-mail: newvirus@kaspersky.com
http://www.kaspersky.com/
今天报的 算是完结这个帖子

hj5abc

NOD32  11.exe+sys+dll+drv=0