2[MD5: 235609 30ABDD]

显示全部楼层 · 发表于 2007-6-23 10:00:43

加了MASKPE。。。。自己脱壳失败。。。。

[ 本帖最后由 EQ2 于 2007-6-23 10:21 编辑 ]

显示全部楼层 · 发表于 2007-6-23 10:01:31

2007-6-23 JAY10:06:47 File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾22.zip/bind_50100.exe ok scanned
2007-6-23 JAY10:06:49 File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾22.zip/yqu.exe//PE_Patch.MaskPE ok scanned

deleted: Trojan program Trojan-Downloader.Win32.VB.azf File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾.rar/bind_50100.exe
deleted: Trojan program Trojan-Dropper.Win32.Delf.tn File: C:\Documents and Settings\Owner\×ÀÃæ\Ñù±¾.rar/yqu.exe//PE_Patch.MaskPE

[ 本帖最后由 wangjay1980 于 2007-6-24 08:56 编辑 ]

显示全部楼层 · 发表于 2007-6-23 10:02:38

Starting the file scan:

Begin scan in 'C:\Documents and Settings\Administrator\My Documents\样本.rar'
C:\Documents and Settings\Administrator\My Documents\
  样本.rar
[0] Archive type: RAR
--> bind_50100.exe
      [DETECTION] Contains suspicious code HEUR/Malware
      [WARNING] Infected files in archives cannot be repaired!
--> yqu.exe
      [DETECTION] Contains suspicious code HEUR/Malware
      [WARNING] Infected files in archives cannot be repaired!
      [WARNING] The file was ignored!

显示全部楼层 · 发表于 2007-6-23 10:03:37

Z:\样本.rar OK
Z:\样本.rar=>bind_50100.exe Suspect BehavesLike:Trojan.Downloader
Z:\样本.rar=>yqu.exe OK

多发downloader，我正闲着没事干呢[:27:]

显示全部楼层 · 发表于 2007-6-23 10:03:39

ess启发了一个
另一个pass
上报

显示全部楼层 · 发表于 2007-6-23 10:13:37

bd包毒。

显示全部楼层 · 发表于 2007-6-24 06:48:03

Virus: Trojan-Downloader.Win32.VB.azf, Trojan-Dropper.Win32.Delf.tn

Virus found while downloading Web content.

Address: bbs.kafan.cn

显示全部楼层 · 发表于 2007-6-24 08:08:40

運行yqu.exe，發現下列行為，被EQ-Secure RC2攔截！

2007-06-24 08:11:21 运行应用程序    操作:允许
进程路径:C:\windows\Explorer.EXE
文件路径:D:\桌面\virus\235609\yqu.exe
规则:应用程序规则->系統程序->%windir%\Explorer.EXE

2007-06-24 08:11:21 创建文件    操作:阻止
进程路径:D:\桌面\virus\235609\yqu.exe
文件路径:C:\windows\temp\1\yqu.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-24 08:11:22 创建文件    操作:阻止
进程路径:D:\桌面\virus\235609\yqu.exe
文件路径:C:\windows\temp\1\yqu.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-24 08:11:22 创建文件    操作:阻止
进程路径:D:\桌面\virus\235609\yqu.exe
文件路径:C:\windows\temp\1\yqu.exe
规则:所有程序规则->全局設置_可執行文件1_普通模式->%SystemDrive%\*.exe

2007-06-24 08:11:29 创建文件    操作:阻止
进程路径:D:\桌面\virus\235609\yqu.exe
文件路径:D:\桌面\virus\235609\_utee.bat
规则:所有程序规则->2.1.5组：限制部份高危格式文件和文件夹的操作->*.bat

1.他會在C:\windows\temp\1\生成
yqu.exe
2.他會在他旁邊生成_utee.bat

[病毒样本] 2[MD5: 235609 30ABDD]

本帖子中包含更多资源