现在送上病毒样本，大家分析一下。（6188来下）

lintel

以下是360的报告：


各位高手：
非常感谢您留心我这份系统诊断报告，小菜鸟十万火急等待您的帮助！
该诊断报告由360安全卫士提供 http://www.360safe.com
诊断时间: 2007-06-01  22:35:07
诊断平台: Microsoft Windows 2000  Service Pack 4
IE版本: Internet Explorer V6.0.2800.1106 Build:62800.1106
计算机物理内存:127MB - 当前可用内存: 9MB
100 - 未知 - Process: hidserv.exe [HID Audio Service] - D:\WINNT\system32\hidserv.exe
100 - 未知 - Process: regsvc.exe [Remote Registry Service] - D:\WINNT\system32\regsvc.exe
R3 - 未知 - URLSearchHook: (地址栏挂钩) - [无效的CLSID:{A52CDDA7-0FFD-49F4-9C72-716C2A4390CE}] - {A52CDDA7-0FFD-49F4-9C72-716C2A4390CE} -
O3 - 未知 - Toolbar: (工具栏(T)) - [无效的CLSID:{42A2F05F-E171-4CEF-852F-02475F698C24}] - {42A2F05F-E171-4CEF-852F-02475F698C24} - D:\Program Files\工具栏(T)\UUPlayer.dll
O4 - 未知 - HKLM\..\Run: [VC Updata] [] REG IMPORT C:\update.reg
O15 - 未知 - Trusted Zone: [url=https://mybank.icbc.com.cnhttps://mybank.icbc.com.cn[/color[/url]]
O15 - 未知 - Trusted Zone: [url=http://www.icbc.com.cnhttp://www.icbc.com.cn[/color[/url]]
O16 - 未知 - DPF: {488A4255-3236-44B3-8F27-FA1AECAA8844} (EditCtrl) - [url=https://img.alipay.com/download/1101/aliedit.cabhttps://img.alipay.com/download/1101/aliedit.cab[/color[/url]]
O23 - 未知 - Service: Alerter [通知所选用户和计算机有关系统管理级警报。] - D:\WINNT\system32\services.exe - (not running)
O23 - 未知 - Service: Browser [维护网络上计算机的最新列表以及提供这个列表给请求的程序。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: dmserver [逻辑磁盘管理器监视狗服务] - D:\WINNT\System32\services.exe - (running)
O23 - 未知 - Service: Dnscache [解析和缓冲域名系统 (DNS) 名称。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: HidServ [HID Input Service] - D:\WINNT\system32\hidserv.exe - (running)
O23 - 未知 - Service: lanmanserver [提供 RPC 支持、文件、打印以及命名管道共享。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: lanmanworkstation [提供网络链结和通讯。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: LmHosts [允许对“TCP/IP 上 NetBIOS (NetBT)”服务以及 NetBIOS 名称解析的支持。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: Messenger [发送和接收系统管理员或者“警报器”服务传递的消息。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: RemoteRegistry [允许远程注册表操作。] - D:\WINNT\system32\regsvc.exe - (running)
O23 - 未知 - Service: Schedule [允许程序在指定时间运行。] - D:\WINNT\system32\MSTask.exe - (running)
O23 - 未知 - Service: seclogon [在不同凭据下启用启动过程] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: TrkWks [当文件在网络域的 NTFS 卷中移动时发送通知。] - D:\WINNT\system32\services.exe - (running)
O23 - 未知 - Service: UtilMan [从一个窗口中启动和配置辅助工具] - D:\WINNT\System32\UtilMan.exe - (not running)
O23 - 未知 - Service: W32Time [设置计算机时钟。] - D:\WINNT\System32\services.exe - (not running)
O23 - 未知 - Service: Wmi [与驱动程序间交换系统管理信息。] - D:\WINNT\system32\Services.exe - (running)
O23 - 未知 - Service: spidernt [Anti Virus System - Virus Chaser] - D:\Program Files\Virus Chaser\SpiderNT.exe - (running)
O23 - 未知 - Service: MOVEESS [维护计算机的移动存储设备，负责移动设备之间快速数据交换和备份服务。] - D:\WINNT\SYSTEM32\RUNDLLFOROUR.EXE D:\WINNT\SYSTEM32\WBEM\AOQWF.DLL,Export 1087 - (not running)
O23 - 未知 - Service: ks8j3jsisd [k1] - D:\WINNT\system32\ks8j3jsisd.exe -j - (not running)
O23 - 未知 - Service: llsserver [提供对系统磁盘检测及数据备份管理的支持。如果此服务被禁用，任何依赖它的服务将无法启动.] - D:\Program Files\Common Files\scvhost - (not running)
O30 - 未知 - HKLM\..\Winlogon: [Shell] [] Explorer.exe D:\WINNT
O30 - 未知 - HKCU\..\Desktop: [Scrnsave.exe] [OpenGL 3D Maze Screen Saver] D:\WINNT\system32\ssmaze.scr
=======================================
100 - 安全 - Process: smss.exe [进程为会话管理子系统用以初始化系统变量，ms-dos驱动名称类似lpt1以及com，调用win32壳子系统和运行在windows登陆过程。] - D:\WINNT\System32\smss.exe
100 - 安全 - Process: csrss.exe [客户端服务子系统，用以控制windows图形相关子系统。] - D:\WINNT\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512,512 Windows=On SubSystemType=Windows ServerDll=ba
100 - 安全 - Process: WINLOGON.EXE [windows nt用户登陆程序。] - D:\WINNT\system32\winlogon.exe
100 - 安全 - Process: services.exe [用于管理windows服务系统进程。] - D:\WINNT\system32\services.exe
100 - 安全 - Process: LSASS.EXE [本地安全权限服务控制windows安全机制。] - D:\WINNT\system32\lsass.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - D:\WINNT\system32\svchost -k rpcss
100 - 安全 - Process: SPOOLSV.EXE [windows打印任务控制程序，用以打印机就绪。] - D:\WINNT\system32\spoolsv.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - D:\WINNT\system32\svchost.exe -k netsvcs
100 - 安全 - Process: mstask.exe [windows计划任务用于设定继承在什么时间或者什么日期备份或者运行。] - D:\WINNT\system32\MSTask.exe
100 - 安全 - Process: winmgmt.exe [windows management service透过windows management instrumentation data (wmi)技术处理来自应用客户端的请求。] - D:\WINNT\System32\WBEM\WinMgmt.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - D:\WINNT\system32\svchost.exe -k wugroup
100 - 安全 - Process: explorer.exe [windows program manager或者windows explorer用于控制windows图形shell，包括开始菜单、任务栏，桌面和文件管理。] - D:\WINNT\Explorer.EXE
100 - 安全 - Process: internat.exe [输入控制图标用于更改类似国家设置、键盘类型和日期格式。] - D:\WINNT\system32\internat.exe
100 - 安全 - Process: conime.exe [console ime ime输入法控制台软件。] - D:\WINNT\system32\conime.exe
100 - 安全 - Process: HNMainUI.exe [adsl宽带拨号王软件。] - D:\Program Files\ADSL拨号王\HNMainUI.exe
100 - 安全 - Process: SpiderNT.exe [virus 驱逐舰杀毒软件相关程序。] - D:\Program Files\Virus Chaser\SpiderNT.exe
100 - 安全 - Process: SpiderUI.exe [驱逐舰杀毒软件相关程序。] - D:\Program Files\Virus Chaser\Spiderui.exe
100 - 安全 - Process: Vcrmon.exe [virus 驱逐舰杀毒软件相关程序。] - D:\Program Files\Virus Chaser\Vcrmon.exe
100 - 安全 - Process: wuauclt.exe [windows操作系统后台程序，用于系统升级。] - D:\WINNT\system32\wuauclt.exe
100 - 安全 - Process: svchost.exe [service host process是一个标准的动态连接库主机处理服务。] - D:\WINNT\system32\svchost.exe
100 - 安全 - Process: taskmgr.exe [windows自带的任务管理器程序，用于察看系统中的进程信息。] - D:\WINNT\system32\taskmgr.exe
100 - 安全 - Process: CMD.EXE [windows控制台程序。不像旧的command.com，cmd.exe是一个32位的命令行使用在winnt/2000/xp。] - D:\WINNT\system32\cmd.exe
100 - 安全 - Process: 360Safe.exe [360安全卫士相关程序。] - D:\Program Files\360safe\360Safe.exe
100 - 安全 - Process: IEXPLORE.EXE [microsoft internet explorer浏览器用于浏览网页。] - D:\Program Files\Internet Explorer\iexplore.exe
R1 - 安全 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page=D:\WINNT\system32\blank.htm
R1 - 安全 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page=D:\WINNT\system32\blank.htm
O3 - 安全 - Toolbar: (@msdxmLC.dll,-1@2052,电台(&R)) - [是Windows Media Player播放器ActiveX控制相关文件。] - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINNT\system32\msdxm.ocx
O4 - 安全 - HKLM\..\Run: [Synchronization Manager] [资料同步管理器] mobsync.exe /logon
O4 - 安全 - HKLM\..\Run: [Vcrmon] [驱逐舰防病毒软件。] D:\Program Files\Virus Chaser\Vcrmon.exe
O4 - 安全 - HKCU\..\Run: [Internat.exe] [输入法在任务栏里的图标] internat.exe
O16 - 安全 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Flash播放器) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O23 - 安全 - Service: Fax [微软Microsoft传真服务相关程序，该服务允许用户创建和发送传真到微软Office组件中。] - D:\WINNT\system32\faxsvc.exe - (not running)
=======================================
O31 - 未知 - SEApproved: 无效的CLSID：Shell extensions for file compression -  -  -  -  - 0 -
O31 - 未知 - SEApproved: 无效的CLSID：加密上下文菜单 -  -  -  -  - 0 -
O31 - 未知 - SEApproved: {B41DB860-8EE4-11D2-9906-E49FADC173CA} - D:\Program Files\WinRAR\rarext.dll -  -  -  - 120832 - d275e832193022ada5546db3b22e5409
O31 - 未知 - SEApproved: {F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} - D:\Program Files\Real\RealPlayer\rpshell.dll - RealNetworks, Inc. - RealPlayer Shell Extensions - 1.0.1.2004 - 49198 - d8e16f78c346053c0f842082d596bbff
O31 - 未知 - SEApproved: {23170F69-40C1-278A-1000-000100020000} - D:\Program Files\7-Zip\7-zip.dll -  -  - 4.42.0.0 - 138752 - c59a7013ffd3297e315fa6542f0f9583
O31 - 未知 - SEApproved: {E76568E0-C231-11D3-B155-0090961B771E} - D:\Program Files\Virus Chaser\Shellexe.dll - New Technology Wave Inc. - VirusChaser Shell Extension - 5.0.0.0 - 49152 - 6f7c317de6adb2c10d43abd13eaa842c
O31 - 未知 - Directory Menu: {23170F69-40C1-278A-1000-000100020000} - D:\Program Files\7-Zip\7-zip.dll -  -  - 4.42.0.0 - 138752 - c59a7013ffd3297e315fa6542f0f9583
O31 - 未知 - Directory Menu: {B41DB860-8EE4-11D2-9906-E49FADC173CA} - D:\Program Files\WinRAR\rarext.dll -  -  -  - 120832 - d275e832193022ada5546db3b22e5409
O31 - 未知 - LSA: Security Packages - sv1_0.dll -  -  -  - 0 -
O31 - 未知 - LSA: Security Packages - channel.dll -  -  -  - 0 -
=======================================
O40 - winlogon.exe - Microsoft Corporation - D:\WINNT\system32\df33sdg.dll -  - 2279d0900db2d7de489fe2e7536630fa
O40 - Explorer.EXE - 金山软件股份有限公司 - D:\PROGRA~1\Kingsoft\KnightV\Tools\KVD\kscdrush.dll - kscdrush - a6166b258bb2a6c4d8005371b5c31bd5
O40 - Explorer.EXE - New Technology Wave Inc. - D:\Program Files\Virus Chaser\Shellexe.dll - VirusChaser Shell Extension - 6f7c317de6adb2c10d43abd13eaa842c
O40 - Explorer.EXE -  - D:\WINNT\system32\crwvhx.dll -  -
O40 - Explorer.EXE - Microsoft Corporation - D:\WINNT\system32\df33sdg.dll -  - 2279d0900db2d7de489fe2e7536630fa
=======================================
O41 - BRPPPOE - BRPPPOE - D:\WINNT\system32\drivers\brpppoe.sys - (running) -  -  - 81a12781b03ec5dea19e7853c0969fb9
O41 - ROCKEYNT - Rockey Device Driver - D:\WINNT\system32\drivers\Rockeynt.sys - (running) - Rockey Device Driver - FeiTian Tech Co.,Ltd - 1aba1d70f793c75c354195b521b4e735
O41 - VIAudio - VIA AC'97 Audio WDM Driver  - D:\WINNT\system32\drivers\viaudio.sys - (running) - VIA AC'97 Audio WDM Driver  - VIA Technologies, Inc. - bfa01233a3fc0781871f451e21ba18c2
O41 - SPIDERCTL - System Monitoring for Windows NT - D:\Program Files\Virus Chaser\Spider.sys - (running) - System Monitoring for Windows NT - New Technology Wave Inc. - ee75e83ac0da6deaef00d59f8efa44e0
O41 - drwebnet - SpIDer Guard boot hook driver for Windows NT - D:\WINNT\system32\drivers\Drwebnet.sys - (running) - SpIDer Guard boot hook driver for Windows NT - Doctor Web Ltd - 1341a129478672613ec4e94d38856e2e
O41 - fnnhlw - fnnhlw - D:\WINNT\system32\drivers\fnnhlw.sys - (running) -  -  - 09f4458aa05728b98048f2d3e161d467
O41 - crwvhx - crwvhx - D:\WINNT\system32\drivers\crwvhx.sys - (running) -  -  -
O41 - safeguard - safeguard - D:\Program Files\系统安全盾\safeguard.sys - (not running) -  -  - 8f196d81c4118a3c79b1b3872d09f0dd
O41 - SafeReg - SafeReg - D:\Program Files\系统安全盾\SafeReg.sys - (not running) -  -  - d30ef1adc1abded65b54e1f1644b9ce9
=======================================
360Safe.exe=3.4.0.1003
AntiAdwa.dll=3.4.0.1001
AntiEng.dll=3.4.0.1001
AntiActi.dll=2.0.0.3000
CleanHis.dll=3.0.2.1000
live.dll=1.0.1.1015
=======================================
操作历史报告：
----------清理恶评软件历史----------
2007-06-01 18:42
清理恶评软件 - 灰鸽子变种残留 - D:\WINNT\Delete.BAT
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
清理恶评软件 - 灰鸽子变种0007 - HKLM\SYSTEM\CurrentControlSet\Services\
清理恶评软件 - 灰鸽子变种0071 - HKLM\SYSTEM\CurrentControlSet\Services\GrayPigeonServer1.23
2007-06-01 18:44
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 18:45
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 18:47
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 18:49
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 21:21
清理恶评软件 - 伪装MSN -
2007-06-01 21:33
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 21:43
清理恶评软件 - 伪装MSN - D:\WINNT\Temp\l.dll
2007-06-01 21:58
清理恶评软件 - 伪装MSN -
2004-06-01 22:26
清理恶评软件 - 实用网址导航(酷站导航) - D:\WINNT\system32\Score.txt
清理恶评软件 - 酷标导航 - D:\WINNT\system32\SCORE.TXT
清理恶评软件 - System - D:\PROGRA~1\COMMON~1\SYSTEM\UPDATE~1.EXE
清理恶评软件 - 伪装卡巴斯基工具条 - D:\PROGRA~1\工具栏~1\tbhelper.dll
清理恶评软件 - 伪realshed恶意程序 - C:\dwnSetup
清理恶评软件 - IE Toolbar - D:\PROGRA~1\工具栏~1\tbhelper.dll
清理恶评软件 - 搜索栏(T)工具条 - D:\PROGRA~1\工具栏~1\tbhelper.dll
清理恶评软件 - 一起搜 - HKCR\URLSEARCHHOOK.TOOLBARURLSEARCHHOOK
清理恶评软件 - eqiso搜索栏 - D:\PROGRA~1\工具栏~1\tbhelper.dll

----------全面诊断修复历史----------
2004-06-01 22:28
100 - 未知 - regsvc.exe - D:\WINNT\system32\regsvc.exe
2004-06-01 22:28
100 - 未知 - RUNDLLFOROUR.EXE - D:\WINNT\system32\RUNDLLFOROUR.EXE
2004-06-01 22:28
100 - 未知 - PEiD.exe - D:\Documents and Settings\Administrator\桌面\PEiD\PEiD.exe
2004-06-01 22:28
O2 - 未知 - TBSB04805 Class - D:\Program Files\工具栏(T)\UUPlayer.dll
----------修复IE浏览器操作历史----------
2007-06-01 21:45
R1 - 危险 - IE左侧搜索页 - HKCU\Software\Microsoft\Internet Explorer\Main
2004-06-01 22:29
O28 - 危险 - IE链接的参数 - D:\DOCUME~1\ADMINI~1\APPLIC~1\MICROS~1\INTERN~1\QUICKL~1\启动IN~1.LNK
=======================================
360安全卫士，彻底查杀各种流氓软件,全面保护系统安全,并赠送正版卡巴斯基V6.0
最新免费下载：http://www.360safe.com

lintel

原帖由 pandorak 于 2007-6-1 10:41 PM 发表
貌似瑞星病毒..........!
感染时什么现象啊 ?

应该使用了线程插入技术。。。开了IceSword1.18，立刻被关闭！

kingzilong

卡巴查不出来  :em29

弄潮儿-NET

这木马有意思，跟我上次提的那一样……

lintel

原帖由 弄潮儿-NET 于 2007-6-1 11:03 PM 发表
这木马有意思，跟我上次提的那一样……

你上次什么？

zgzxp

nod32可以查出来

netwinxp

你使用了工行网上银行，先改密码去，另外系统文件基本全感染，建议重新GHOST。这个病毒好像会感染可执行文件。

[ 本帖最后由 netwinxp 于 2007-6-1 11:58 PM 编辑 ]

弄潮儿-NET

这木马支持摄像头，可以从摄像头看到被害人是谁，呵呵

lintel

原帖由 弄潮儿-NET 于 2007-6-2 10:02 AM 发表
这木马支持摄像头，可以从摄像头看到被害人是谁，呵呵

已经对这个病毒做了反汇编，并找到了它的FTP。已经黑了。。。。:lol

弄潮儿-NET

原帖由 <i>lintel</i> 于 2007-6-2 07:41 PM 发表 <a href="http://bbs.wuyou.net/redirect.php?goto=findpost&pid=1085872&ptid=106835" target="_blank"><img src="http://bbs.wuyou.net/images/common/back.gif" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open('http://bbs.wuyou.net/images/common/back.gif');}" onmousewheel="return imgzoom(this);" alt="" /></a><br />

<br />
已经对这个病毒做了反汇编，并找到了它的FTP。已经黑了。。。。<img src="images/smilies/lol.gif" smilieid="12" border="0" alt="" />

<br />

我这刚拿到另一个木马，你要不要玩？我现在是没兴趣的了……

lintel

原帖由 弄潮儿-NET 于 2007-6-2 08:20 PM 发表


我这刚拿到另一个木马，你要不要玩？我现在是没兴趣的了……

要要要，收下了！送我！

netwinxp

前天手动杀了一个会屏蔽regedit.exe和regedit.com及绝大多数的杀毒软件的病毒，忘了给你采样:lol

弄潮儿-NET

原帖由 lintel 于 2007-6-4 10:36 AM 发表

要要要，收下了！送我！

................................................................

删了，免得造成传播病毒罪

[ 本帖最后由 弄潮儿-NET 于 2007-6-4 03:24 PM 编辑 ]

弄潮儿-NET

找lintel要吧