瑞星卡卡安全论坛

反病毒引擎	版本	最后更新	扫描结果
AhnLab-V3	-	-	Win-Trojan/Bagle.856072.H
AntiVir	-	-	TR/Dldr.Bagle.afv
Authentium	-	-	W32/Downldr2.EXFZ
Avast	-	-	Win32:Trojan-gen {Other}
AVG	-	-	Win32/Themida
BitDefender	-	-	DeepScan:Generic.Bagle.2E66F3DC
CAT-QuickHeal	-	-	TrojanDownloader.Bagle.afy
ClamAV	-	-	-
Comodo	-	-	TrojWare.Win32.TrojanDownloader.Bagle.afy
DrWeb	-	-	Trojan.Packed.650
eSafe	-	-	Win32.Bagle.afy
eTrust-Vet	-	-	-
Ewido	-	-	-
F-Prot	-	-	W32/Downldr2.EXFZ
F-Secure	-	-	Trojan-Downloader.Win32.Bagle.afy
Fortinet	-	-	PossibleThreat
GData	-	-	DeepScan:Generic.Bagle.2E66F3DC
Ikarus	-	-	Trojan-Downloader.Win32.Bagle
K7AntiVirus	-	-	Trojan-Downloader.Win32.Bagle.afy
Kaspersky	-	-	Trojan-Downloader.Win32.Bagle.afy
McAfee	-	-	Generic Downloader.x
McAfee+Artemis	-	-	Generic Downloader.x
Microsoft	-	-	Trojan:Win32/Bagle.B
NOD32	-	-	Win32/Bagle.QH
Norman	-	-	W32/Malware.EKXG
Panda	-	-	W32/Bagle.RC.worm
PCTools	-	-	-
Prevx1	-	-	Malicious Software
Rising	-	-	-
SecureWeb-Gateway	-	-	Trojan.Dldr.Bagle.afv
Sophos	-	-	Sus/ComPack-C
Sunbelt	-	-	Trojan-Downloader.Win32.Bagle.afy
Symantec	-	-	Trojan.Mitglieder
TheHacker	-	-	Trojan/Downloader.Bagle.afy
TrendMicro	-	-	-
VBA32	-	-	Trojan-Downloader.Win32.Bagle.afy
ViRobot	-	-	Trojan.Win32.Downloader-Bagle.856072.D
VirusBuster	-	-	-
文件名:serial.exe
MD5: 9a462896c43fda83efc9df5691573be8
SHA1: 7b96091aa3773763b01b18aba11f765fa7581427
SHA256: 5f0dd8f8ae382152ce7f88894cdaab4a88196b67955628cf6f649f543f2c6de1
SHA512: 740f68b03a2f7a66a91d87593fa9e370ddcbc6cd1cf9b640ae6fe8a96c9983110fa4107bfcaf4315e26f0435048afe625eff329455b96a53a01c1f75041be654

网吧观测,结果可能不全,这个是很早前的样本了
==========================================================================
下载
网页都在 C\Documents and Settings\?\Local Settings\Temporary Internet Files\Content.IE5
然后存到下面的目录
C:\WINDOWS\system32\drivers\downld\4211015.exe
C:\WINDOWS\system32\drivers\downld\4245984.exe
C:\WINDOWS\system32\drivers\downld\4270062.exe
等等七位随机文件名EXE文件,大小都不一样

C:\WINDOWS\system32\mdelk.exe
C:\WINDOWS\system32\wintems.exe rootkit的一部分
C:\WINDOWS\system32\ban_list.txt
C:\WINDOWS\system32\drivers\srosa2.sys
C:\WINDOWS\system32\drivers\srosa.sys

启动 C:\WINDOWS\system32\drivers\winfilse.exe 不随机 ,然后该程序不断破坏安全模式 注册表路径:HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
?:\kil\SuperKiller.exe 这个运行后,先加载srosa.sys,随后是srosa2.sys ,也调用winfilse.exe

驱动加载后的详情,参见猫叔帖子 http://bbs.ikaka.com/showtopic-8590794.aspx  本次注册表相关截图见回复

防范建议:

不要随意运行陌生软件
system32目录,安装完软件后,用NTFS权限禁止新建文件和文件夹(打补丁时再说),看看这些文件的路径特征,尤其是病毒加载驱动后才开始进行更多的破坏以及感染,这确实是简单有效的一个方法
定期清理临时文件
最好新建一个基本用户权限的帐户,平时使用不用管理员帐户
配置好自己的安全防护软件和防火墙,论坛和官网都有相关的图文资料



如果中标:
清理病毒的启动项目和文件
删除注册表 HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications 项下的所有执行文件名，这些都是被感染的程序或者根本就是病毒文件，找到原始目录删除,重新安装这些软件。
最后再修复安全模式

或者,安装PE系统进行清理,然后修复安全模式,直接进安全模式再进行进一步清理

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)

:default2:
大约一星期前的样本了

释放驱动

恢复SSDT

破坏多种杀软和防火墙