又一个“熊猫烧香”的出现！“克邻大盗”（PE_CORELINK.C-O）(请上传样本)

yashoo

一个病毒，一个木马

dyw1021

赛门铁克灭了

woai_jolin

ess启发
2007/6/17 0:35:47        Scanning Log
2007/6/17 0:35:47        Version of virus signature database: 2335 (20070616)
2007/6/17 0:35:47        Date: 17.6.2007  Time: 00:35:47
2007/6/17 0:35:47        Scanned disks, folders and files: D:\病毒测试\
2007/6/17 0:35:57        D:\病毒测试\virus.rar - probably unknown NewHeur_PE virus - deleted - quarantined
2007/6/17 0:35:57        D:\病毒测试\virus.rar » RAR » RioDrvs.sys - probably unknown NewHeur_PE virus [7]
2007/6/17 0:35:57        Number of scanned files: 3
2007/6/17 0:35:57        Number of threats found: 1
2007/6/17 0:35:57        Time of completion: 00:35:57  Total scanning time: 10 sec (00:00:10)

只爱宠儿

应该是boot.exe吧,昨天有幸拿到个样本,蛮有趣了

驱动技术加载(后删除自身),Rootkit技术隐藏:

---- Processes - GMER 1.0.10 ----
Library  C:\winnt\system32\LINKINFO.DLL (*** hidden *** ) @ C:\winnt\Explorer.EXE [1012]    0x766B0000                                           <-- ROOTKIT !!!
Library  C:\winnt\linkinfo.dll (*** hidden *** ) @ C:\winnt\Explorer.EXE [1012]             0x05470000                                           <-- ROOTKIT !!!
Library  C:\winnt\system32\LINKINFO.DLL (*** hidden *** ) @ E:\Maxthon2\Maxthon.exe [1196]  0x766B0000                                           <-- ROOTKIT !!!
---- Services - GMER 1.0.10 ----
Service  C:\winnt\system32\DRIVERS\nvmini.sys (*** hidden *** )                             [AUTO] nvmini                                        <-- ROOTKIT !!!
Service  C:\winnt\system32\DRIVERS\nwlnkflt.sys (*** hidden *** )                           [MANUAL] NwlnkFlt                                    <-- ROOTKIT !!!
---- Files - GMER 1.0.10 ----
File     C:\WINNT\system32\drivers\nvmini.sys                                                                                                    <-- ROOTKIT !!!
File     C:\WINNT\system32\dllcache\linkinfo.dll                                            
File     C:\WINNT\system32\linkinfo.dll                                                     
File     C:\WINNT\linkinfo.dll                                                              
File     C:\Documents and Settings\admin\Local Settings\Temp\Rar$DI00.251\Autorun.inf      
File     C:\Documents and Settings\admin\Local Settings\Temp\Rar$EX36.753\boot.exe         
File     C:\Documents and Settings\admin\Local Settings\Temp\Rar$EX36.753\Autorun.inf      
File     C:\Documents and Settings\admin\boot.exe                                          
File     E:\autorun.inf                                                                     


后来还是死掉了``有谁想要的,我上传个吧.

不过我测试时候好像没有完全运行,呵呵

laolaoliu

Image00000.jpg (这个K120没反应)

287669789

看来这个病毒一般般

Nblock

原帖由 只爱宠儿 于 2007-6-17 08:10 发表
应该是boot.exe吧,昨天有幸拿到个样本,蛮有趣了