[病毒样本] 今天在我机器上抓到的

baby178

今天打开了一个网站，AVAST马上不停的报，都是system32下面的几个dll文件，关了IE还是报，用进程管理软件查看发现临时目录里的不明进程，把其关闭侯AVAST停止报警，Windows清理助手发现注册表可疑项。大家分析一下。

sharkkong

Kaspersky
Internet Security 2009 Beta
Access denied
The requested URL could not be retrieved

While trying to retrieve the URL:

http://bbs.janmeng.com/attachment.php?
aid=264658

The following error was encountered:

The requested object is INFECTED with the following viruses: Trojan-Downloader.Win32.Small.zcw


Please contact your service provider if you consider it incorrect.
Generated:
Sun Jul 27 20:25:00 2008
Kaspersky Internet Security 2009 Beta

baohe

原帖由 baby178 于 2008-7-27 19:55 发表
今天打开了一个网站，AVAST马上不停的报，都是system32下面的几个dll文件，关了IE还是报，用进程管理软件查看发现临时目录里的不明进程，把其关闭侯AVAST停止报警，Windows清理助手发现注册表可疑项。大家分析一下。

木马下载器

剑指七星

Begin scan in 'F:\样本.rar'
F:\样本.rar
    [0] Archive type: RAR
      --> ~~.exe
        --> Object
          [2] Archive type: RSRC
          --> Object
            [DETECTION] Is the TR/Dldr.Small.xxg Trojan
    [NOTE]      The file was deleted!

豪斯登堡新郎

C:\000287A4\166782

36
http://bally1.bally-bally.net/laco1.exe
http://bally1.bally-bally.net/laco2.exe
http://bally1.bally-bally.net/laco3.exe
http://bally1.bally-bally.net/laco4.exe
http://bally1.bally-bally.net/laco5.exe
http://bally1.bally-bally.net/laco6.exe
http://bally1.bally-bally.net/laco7.exe
http://bally2.bally-bally.net/laco8.exe
http://bally2.bally-bally.net/laco9.exe
http://bally2.bally-bally.net/laco10.exe
http://bally2.bally-bally.net/laco11.exe
http://bally2.bally-bally.net/laco12.exe
http://bally2.bally-bally.net/laco13.exe
http://bally2.bally-bally.net/laco14.exe
http://bally3.bally-bally.net/laco15.exe
http://bally3.bally-bally.net/laco16.exe
http://bally3.bally-bally.net/laco17.exe
http://bally3.bally-bally.net/laco18.exe
http://bally3.bally-bally.net/laco19.exe
http://bally3.bally-bally.net/laco20.exe
http://bally3.bally-bally.net/laco21.exe
http://bally3.bally-bally.net/laco22.exe
http://bally4.bally-bally.net/laco23.exe
http://bally4.bally-bally.net/laco24.exe
http://bally4.bally-bally.net/laco25.exe
http://bally4.bally-bally.net/laco26.exe
http://bally4.bally-bally.net/laco27.exe
http://bally4.bally-bally.net/laco28.exe
http://bally4.bally-bally.net/laco29.exe
http://bally4.bally-bally.net/laco30.exe
http://bally4.bally-bally.net/laco31.exe
http://bally4.bally-bally.net/laco32.exe
http://bally4.bally-bally.net/laco33.exe
http://bally4.bally-bally.net/laco34.exe
http://bally4.bally-bally.net/laco35.exe

yrt888

杀软提示有毒，最终只能删除感染文件，才停止报警！

11度

非常想在虚拟环境下试一下，可是没有装虚拟机~不过红伞杀了~

byxxdrls

原帖由 baby178 于 2008-7-27 19:55 发表
今天打开了一个网站，AVAST马上不停的报，都是system32下面的几个dll文件，关了IE还是报，用进程管理软件查看发现临时目录里的不明进程，把其关闭侯AVAST停止报警，Windows清理助手发现注册表可疑项。大家分析一下。

我来上传它的下载物及修改的文件吧

nhxycfans

关注

byxxdrls

user32.dll这个关键文件15日就有人上报了。

VirSCAN.org Scanned Report :
Scanned time   : 2008/07/30 14:55:18 (CST)
Scanner results: 19%的杀软(7/36)报告发现病毒
File Name      : user32.dll
File Size      : 574976 byte
File Type      : PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bi
MD5            : 027ebbecf7d84d180714e2bc0f167f63
SHA1           : 586b16ce54da4e9f4809c15300f3b1018f80d282
Online report  : http://virscan.org/report/13702dfd9ac181363af6b547b41ce985.html

Scanner        Engine Ver      Sig Ver           Sig Date    Time   Scan result
a-squared      3.5.0.22        2008.07.29        2008-07-29  2.40   -
安博士V3       2008.07.30.00   2008.07.30        2008-07-30  0.86   -
AntiVir        7.8.1.12        7.0.5.189         2008-07-29  2.13   Tr/Ures.C
Arcavir        1.0.5           200807291234      2008-07-29  1.20   -
AVAST!         3.0.1           080729-1          2008-07-29  0.69   Win32:Trojan-gen {Other}
AVG            7.5.51.442      270.5.7/1580      2008-07-29  1.51   -
BitDefender    7.60825.1416011 7.20256           2008-07-30  2.63   -
CA (VET)       9.0.0.143       31.6.5994         2008-07-30  0.69   -
ClamAV         0.93.3          7884              2008-07-30  0.12   -
Comodo         2.11            2.0.0.601         2008-07-30  0.43   -
CP Secure      1.1.0.715       2008.07.30        2008-07-30  5.67   -
Dr.Web         4.44.0.9170     2008.07.29        2008-07-29  3.00   -
ewido          4.0.0.2         2008.07.29        2008-07-29  2.30   -
F-Prot         4.4.4.56        20080729          2008-07-29  1.01   -
F-Secure       5.51.6100       2008.07.30.01     2008-07-30  2.85   -
飞塔           2.81-3.11       9.366             2008-07-30  1.67   Suspicious
ViRobot        20080728        2008.07.28        2008-07-28  0.72   -
Ikarus         T3.1.01.34      2008.07.30.71186  2008-07-30  3.06   -
江民杀毒       11.0.706        2008.07.30        2008-07-30  1.13   -
卡巴斯基       5.5.10          2008.07.30        2008-07-30  0.03   -
金山毒霸       2008.1.14.15    2008.7.30.10      2008-07-30  0.53   Win32.Loader.a.30
迈克菲         5.2.00          5348              2008-07-28  2.23   -
Microsoft      1.3806          2008.07.30        2008-07-30  4.17   -
mks_vir        2.01            2008.07.28        2008-07-28  2.47   -
Norman         5.93.01         5.93.00           2008-07-28  4.67   -
熊猫卫士       9.05.01         2008.07.29        2008-07-29  2.01   -
趋势科技       8.700-1004      5.443.00          2008-07-29  0.03   -
Quick Heal     9.50            2008.07.07        2008-07-07  1.65   -
瑞星           20.0            20.55.20.00       2008-07-30  0.89   Trojan.Win32.PePatch.hx
Sophos         2.75.4          4.31              2008-07-30  1.93   -
Sunbelt        3.1.1537.1      2169              2008-07-28  0.41   -
赛门铁克       1.3.0.24        20080729.005      2008-07-29  0.07   Trojan.Ushedix!inf
nProtect       2008-07-29.00   1727206           2008-07-29  3.22   -
The Hacker     6.2.96          v00389            2008-07-24  0.63   -
VBA32          3.12.8.1        20080729.0746     2008-07-29  1.24   -
VirusBuster    4.5.11.10       10.82.26/596940   2008-07-29  1.51   Win32.Starter.CP