瑞星卡卡安全论坛

病毒样本来自剑盟。
用瑞星今天最新的病毒库扫此样本————不报毒。


病毒文件大小：43.4k；MD5值：DAF8886FA038E8AB5BF00FED8C99A270。


此毒有盗来的数字签名（图1）。






tmp.exe运行后的动作如下：
在当前用户临时目录下释放病毒文件.dll、.exe、.lz、.tmp。这些病毒程序运行后释放以下病毒文件（图2）：

此病毒特点：
1、b44d.exe开启rundll32.exe，病毒库文件c7bs.dll插入rundll32.exe进程中。
2、病毒库文件4b7r.dll插入资源管理器explorer.exe进程中。用户点击桌面的“我的电脑”即刻触发病毒b44d.exe运行。
3、在windows/tasks/目录下创建病毒文件ms.job。此病毒程序通过rundll32.exe运行windows/system32/c7bs.dll。

病毒写入注册表内容如下（图3）：







此毒手工杀毒的难点在于那两个病毒dll。



我用IceSword的杀毒操作流程是：


1、禁止进程创建。
2、结束病毒进程b44d.exe以及被病毒dll插入的rundll32.exe进程。
3、删除病毒文件（图2所示）。
4、删除病毒写入的注册表内容。
5、取消IceSword的“禁止进程创建”。







用户系统信息：Opera/9.80 (Windows NT 5.1; U; zh-cn) Presto/2.2.15 Version/10.10

晕，我发jm的那个:kaka6:

猫叔显身。。。。。

占座学习

nod32 ESS 4.0 杀之

学习

呵呵 有了这个可以过很多杀软

哎 现在没有什么不可能哇

猫叔现身
继续学习

留名学习:kaka1:
大家新年好

学习··

谢谢LZ的分享，，，支持

厉害:kaka1:

数字签名也敢盗,这病真毒啊

如果以后病毒都有数字签名，那就玩儿完了。。。:kaka11:

无所不能，真是道高一尺，魔高一丈。。。:kaka7:

:kaka12: 我没中过，哈哈

谢谢分享！！:kaka1: