MD5:1_.ii * 刚刚搞到的样本

显示全部楼层 · 发表于 2007-6-21 18:27:58

deleted: virus Worm.Generic (modification) File: C:\Users\KAV-Longhorn\Documents\Downloads\Compressed\1_.rar/1_.ii//UPack
deleted: virus Worm.Generic (modification) File: C:\Users\KAV-Longhorn\Documents\Downloads\Compressed\down.rar/internat.exe//UPack
detected: Trojan program Trojan-Proxy.Win32.Small.du File: C:\Users\KAV-Longhorn\Documents\Downloads\Compressed\down.rar/1.exe//KLAVME.DAT//PE_Patch.PECompact//PecBundle//PECompact
deleted: Trojan program Trojan-PSW.Win32.OnLineGames.wh File: C:\Users\KAV-Longhorn\Documents\Downloads\Compressed\down.rar/3.exe//WINFORM.DLL

显示全部楼层 · 发表于 2007-6-21 18:30:54

?       Copyright (c) 1993-2007 by VBA Ltd.          ?
酝屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯屯图
License expired
License #000000119 Valid till 2006-12-31
Demo mode
Command line options:
/r=susp.rpt /ha=3 /collect_suspects /nc /af+ /ar+ /bt- /mr- /ml+ /rw+ /as-
Ctrl-C will terminate program execution

*:
C:\
C:\ABC\1_\1_.ii : is suspected of Trojan-Spy.Delf.13 (paranoid heuristics)
Program execution terminated by user

Directories    : 4    Files in archives:    Files on disks:
Archives:                - total    : 0    - total    : 19
- scanned       : 0    -  scanned : 0    - scanned    : 18
- contain viruses : 0    -  infected : 0    - infected : 0
- deleted       : 0    -  suspicious : 0    - suspicious  : 1

Startup : 18:35:13 21-06-2007
End       : 18:35:17 21-06-2007
Total time : 00:00:04
终止批处理操作吗(Y/N)?

显示全部楼层 · 发表于 2007-6-21 20:01:03

2007/6/21 19:57:29 Scanning Log
2007/6/21 19:57:29 Version of virus signature database: 2342 (20070621)
2007/6/21 19:57:29 Date: 21.6.2007 Time: 19:57:29
2007/6/21 19:57:29 Scanned disks, folders and files: D:\病毒\
2007/6/21 19:57:33 D:\病毒\down.rar - a variant of Win32/Agent.NIK trojan - deleted - quarantined
2007/6/21 19:57:33 D:\病毒\down.rar » RAR » 5.exe - a variant of Win32/Agent.NIK trojan
2007/6/21 19:57:33 D:\病毒\down.rar » RAR » 6.exe - a variant of Win32/Agent.NIK trojan
2007/6/21 19:57:33 D:\病毒\down.rar » RAR » 1.exe - a variant of Win32/Agent.NIK trojan
2007/6/21 19:57:33 Number of scanned files: 9
2007/6/21 19:57:33 Number of threats found: 3
2007/6/21 19:57:33 Time of completion: 19:57:33 Total scanning time: 4 sec (00:00:04)

显示全部楼层 · 发表于 2007-6-21 20:52:23

小红伞飘过。

显示全部楼层 · 发表于 2007-6-21 21:19:23

運行1.exe，發現下列行為，被EQ-Secure RC2攔截！
-----------------
2007-06-21 21:21:44 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\downblueline\1.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:21:44 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\1.exe
文件路径:D:\桌面\virus\downblueline\1.dat
规则:所有程序规则->全局設置_普通模式->*.*

2007-06-21 21:21:45 运行应用程序    操作:阻止
进程路径:D:\桌面\virus\downblueline\1.exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c del "D:\桌面\virus\downblueline\1.exe
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

---------------------------------
1.他會在他旁邊產生1.dat
2.他會利用cmd.exe殺掉自己
/c del "D:\桌面\virus\downblueline\1.exe

显示全部楼层 · 发表于 2007-6-21 21:21:43

運行2.exe，發現下列行為，被EQ-Secure RC2攔截！
-------------
2007-06-21 21:24:09 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\downblueline\2.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:24:09 修改注册表内容    操作:阻止
进程路径:D:\桌面\virus\downblueline\2.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\my.exe
注册表名称:[Key]
规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

2007-06-21 21:24:09 修改注册表内容    操作:阻止
进程路径:D:\桌面\virus\downblueline\2.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\my.exe
注册表名称:[Key]
规则:所有程序规则->系统设置->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*

-----------------------------------------
1.他會修改注册表内容
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\my.exe
[Key]

显示全部楼层 · 发表于 2007-6-21 21:26:33

運行3.exe，發現下列行為，被EQ-Secure RC2攔截！
-----------------
2007-06-21 21:26:30 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\downblueline\3.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\WinForm.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\halyph.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\halyph.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\halyph.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\system32\WinForm.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

2007-06-21 21:26:32 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\3.exe
文件路径:C:\windows\system32\halyph.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

----------------------------
1.他會在C:\windows\產生
WinForm.exe
halyph.exe
2.他會在C:\windows\system32\產生
WinForm.dll
halyph.dll

显示全部楼层 · 发表于 2007-6-21 21:39:12

4.exe的結構
--------
<html>
<head>
<title>Kaspersky Internet Security 6.0</title>
</head>
<body>
<h1>Kaspersky Internet Security 6.0</h1>
<p>The requested URL <u>hxxp://mm.35561.com/www/4.exe</u> is infected with <a href=http://www.viruslist.com/en/search?VN=Trojan-PSW.Win32.OnLineGames.vm>Trojan-PSW.Win32.OnLineGames.vm</a> virus</p>
</body>
</html>
----------------------

紅色連結下載回來的4.exe

運行之，發現下列行為，被EQ-Secure RC2攔截！
-------------
2007-06-21 21:35:18 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\4.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\upxdnd.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\upxdnd.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\upxdnd.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\hxezru.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\hxezru.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\hxezru.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\system32\upxdnd.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

2007-06-21 21:35:20 创建文件    操作:阻止
进程路径:D:\桌面\virus\4.exe
文件路径:C:\windows\system32\hxezru.dll
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.dll

---------------------
1.他會在C:\windows\產生
upxdnd.exe
hxezru.exe
2.他會在C:\windows\system32\產生
upxdnd.dll
hxezru.dll

显示全部楼层 · 发表于 2007-6-21 21:42:09

運行5.exe，發現下列行為，被EQ-Secure RC2攔截！
---------------
2007-06-21 21:44:24 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\downblueline\5.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:44:24 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\5.exe
文件路径:D:\桌面\virus\downblueline\5.dat
规则:所有程序规则->全局設置_普通模式->*.*

2007-06-21 21:44:24 运行应用程序    操作:阻止
进程路径:D:\桌面\virus\downblueline\5.exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c del "D:\桌面\virus\downblueline\5.exe
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

-----------------------------
1.他會在他旁邊產生5.dat
2.他會利用cmd.exe殺死自己
/c del "D:\桌面\virus\downblueline\5.exe

显示全部楼层 · 发表于 2007-6-21 21:47:19

運行6.exe，發現下列行為，被EQ-Secure RC2攔截！
-----------
2007-06-21 21:49:50 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\downblueline\6.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-21 21:49:50 创建文件    操作:阻止
进程路径:D:\桌面\virus\downblueline\6.exe
文件路径:D:\桌面\virus\downblueline\6.dat
规则:所有程序规则->全局設置_普通模式->*.*

2007-06-21 21:49:50 运行应用程序    操作:阻止
进程路径:D:\桌面\virus\downblueline\6.exe
文件路径:C:\windows\system32\cmd.exe
命令行:/c del "D:\桌面\virus\downblueline\6.exe
规则:所有程序规则->系統程序->%windir%\system32\cmd.exe

-----------------------------
1.他會在他旁邊產生6.dat
2.他會利用cmd.exe殺死自己
/c del "D:\桌面\virus\downblueline\6.exe

[病毒样本] MD5:1_.ii * 刚刚搞到的样本

本帖子中包含更多资源