5/24 7：20，svchost又更新了，大家跟上

allenhippo

作者肯定是个疯狂的人，速度好快！



两个下载的文件也更新了，其他的没变：




js文件之一也更新了：



铁壳前天入库的，今天这个又挂掉了，文件大小变了。

[ 本帖最后由 allenhippo 于 2007-5-24 07:50 编辑 ]

tracydk

Starting the file scan:

Begin scan in 'F:\样本\srogm.rar'
F:\样本\srogm.rar
  [0] Archive type: RAR
  --> srogm.exe
      [DETECTION] Is the Trojan horse TR/Crypt.ULPM.Gen
      [INFO]      The file was deleted!
Begin scan in 'F:\样本\svchost.rar'
F:\样本\svchost.rar
  [0] Archive type: RAR
  --> svchost.exe
      [DETECTION] Is the Trojan horse TR/Crypt.ULPM.Gen
      [INFO]      The file was deleted!
Begin scan in 'F:\样本\svchost_download.rar'
F:\样本\svchost_download.rar
  [0] Archive type: RAR
  --> svchost_download.exe
      [DETECTION] Is the Trojan horse TR/Crypt.ULPM.Gen
      [INFO]      The file was deleted!

racky104

没懂

playx

铁克挂..上报中..svchost.rar自行运行结果如下..参考参考



增加键:2

HKLM\SOFTWARE\Classes\CLSID\{09B68AD9-FF66-3E63-636B-B693E62F6236}
HKLM\SOFTWARE\Classes\CLSID\{09B68AD9-FF66-3E63-636B-B693E62F6236}\InProcServer32

删除值:1

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{AEB6717E-7E19-11d0-97EE-00C04FD91972}: ""

增加值:6

HKLM\SOFTWARE\Classes\CLSID\{09B68AD9-FF66-3E63-636B-B693E62F6236}\InProcServer32\: "C:\Program Files\Internet Explorer\romdrivers.dll"
HKLM\SOFTWARE\Classes\CLSID\{09B68AD9-FF66-3E63-636B-B693E62F6236}\InProcServer32\ThreadingModel: "Apartment"
HKLM\SOFTWARE\Classes\CLSID\{09B68AD9-FF66-3E63-636B-B693E62F6236}\: ""
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{09B68AD9-FF66-3E63-636B-B693E62F6236}: ""
HKLM\SYSTEM\ControlSet001\Services\kmixer\Enum\0: "SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}\{9B365890-165F-11D0-A195-0020AFD156E4}"
HKLM\SYSTEM\CurrentControlSet\Services\kmixer\Enum\0: "SW\{b7eafdc0-a680-11d0-96d8-00aa0051e51d}\{9B365890-165F-11D0-A195-0020AFD156E4}"


修改值:6

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: 71 73 F0 E5 38 09 B5 06 C3 4C 30 AB 27 6D 09 48 E1 BA 3C 8C 93 B7 6C 8A 39 4F A7 EF F3 F7 91 F3 5C F1 E0 1F 2E 2C 44 E4 99 1D FD FF 00 07 12 5E D2 43 53 8A B9 4F D1 D3 8D D9 C9 BC 25 2A FD 23 6B F2 8F 06 39 3C 9C 6A 60 D6 9D 30 F7 83 89 A3
HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: B5 F2 58 95 21 15 9F C4 65 88 1F FF 8F D6 35 BA 44 AA A9 2E 63 06 18 DB 1F 80 97 9B E7 83 0E C0 71 A5 78 C3 63 AF 48 82 26 50 B9 0A 99 A1 5A 8E 69 CF 64 7A 8F 20 A4 51 27 86 EF FC 79 A1 52 5E 07 7C A7 A7 DE C5 A5 7E 61 10 99 8F 56 BB 61 F5
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed: 0x00000018
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed: 0x00000019
HKLM\SYSTEM\ControlSet001\Services\kmixer\Enum\Count: 0x00000000
HKLM\SYSTEM\ControlSet001\Services\kmixer\Enum\Count: 0x00000001
HKLM\SYSTEM\ControlSet001\Services\kmixer\Enum\NextInstance: 0x00000000
HKLM\SYSTEM\ControlSet001\Services\kmixer\Enum\NextInstance: 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\kmixer\Enum\Count: 0x00000000
HKLM\SYSTEM\CurrentControlSet\Services\kmixer\Enum\Count: 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\kmixer\Enum\NextInstance: 0x00000000
HKLM\SYSTEM\CurrentControlSet\Services\kmixer\Enum\NextInstance: 0x00000001


文件增加:2

C:\Program Files\Internet Explorer\romdrivers.bak
C:\Program Files\Internet Explorer\romdrivers.dll


文件删除:1

C:\WINDOWS\system32\drivers\etc\hosts


文件修改:8

C:\Documents and Settings\LocalService\ntuser.dat.LOG
C:\Documents and Settings\NetworkService\ntuser.dat.LOG
C:\Documents and Settings\user\ntuser.dat.LOG
C:\WINDOWS\system32\config\software.LOG
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP

[ 本帖最后由 playx 于 2007-5-24 08:04 编辑 ]

mofunzone

更吧更吧
反正就是免疫007改（免疫007=nsanti改，他自己再改改，已经看了他的壳了）
扫描日志
NOD32版本 2285 (20070522) NT
命令行： C:\Documents and Settings\morgan\My Documents\ ?
?svchost.rar C:\Documents and Settings\morgan\My  ?
?Documents\svchost_download.rar C:\Documents and  ?
?Settings\morgan\My Documents\srogm.rar
正在检查NOD32.EXE文件的CRC：状态正常
D:\Eset\nod32.exe - 是正常的
扫描系统内存中：没有进行 (选项已关闭)
扫描MBR及引导区中：没有进行 (选项已关闭)
日期： 23.5.2007  时间：16:38:27
已关闭反隐藏功能.
已扫描的磁盘，文件夹及文件：C:\Documents and Settings\ ?
?morgan\My Documents\svchost.rar; C:\Documents and  ?
?Settings\morgan\My Documents\svchost_download.rar; C:\ ?
?Documents and Settings\morgan\My Documents\srogm.rar
C:\Documents and Settings\morgan\My Documents\svchost.rar  ?
?>>RAR >>svchost.exe - 是正常的
C:\Documents and Settings\morgan\My Documents\ ?
?svchost_download.rar >>RAR >>svchost_download.exe -  ?
?是正常的
C:\Documents and Settings\morgan\My Documents\srogm.rar  ?
?>>RAR >>srogm.exe - 是正常的
已扫描的文件数目：3
已发现的病毒数目：0
完成时间： 16:38:27 总扫描时间：0 秒 (00:00:00)


[Scan path] C:\Documents and Settings\morgan\My Documents\svchost_download.rar
>C:\Documents and Settings\morgan\My Documents\svchost_download.rar\svchost_download.exe - Ok
C:\Documents and Settings\morgan\My Documents\svchost_download.rar - Ok

[Scan path] C:\Documents and Settings\morgan\My Documents\srogm.rar
>C:\Documents and Settings\morgan\My Documents\srogm.rar\srogm.exe - Ok
C:\Documents and Settings\morgan\My Documents\srogm.rar - Ok

[Scan path] C:\Documents and Settings\morgan\My Documents\svchost.rar
>C:\Documents and Settings\morgan\My Documents\svchost.rar\svchost.exe - Ok
C:\Documents and Settings\morgan\My Documents\svchost.rar - Ok

foxhound

KIS7也没报

wangjay1980

他就是以过卡巴为标杆的

zxkf

过不了卡7的前摄防御的 LZ提供第一个时就跑过
http://bbs.kafan.cn/viewthread.php?tid=87631&extra=page%3D1

allenhippo

普通用户不懂主动防御怎么办？（请表说他们不懂中毒是他们的错）

fanrubin

这个看上卡巴了，卡巴高手们应该像卡巴官方反映，找更好的办法