过RIS2010 22.44.00.05病毒库的网马jornalvakio.com bbs.ikaka.com

baohe - 2010-4-19 18:24:00

样本来自卡饭。RIS2010 22.44.00.05病毒库不报毒。开RIS2010所有监控（默认设置）运行此毒，RIS2010毫无反应。

1、Tiny监控到的jornalvakio.com的运行全过程

2、jornalvakio.com释放的文件（,dll及.job文件名均为随机文件名）

3、jornalvakio.com的注册表改动

4、jornalvakio.com在Tasks目录下释放的随机文件名.job（隐藏）

5、随机文件名.job的内容

附上相关病毒文件（密码：123）

手工杀毒：用IceSword可以搞掂（强制删除病毒文件及其添加的注册表项）。

用户系统信息：Opera/9.80 (Windows NT 6.1; U; zh-cn) Presto/2.2.15 Version/10.10

附件: 桌面.rar

木马bbbb - 2010-4-19 18:51:00

附件msvcp80G.dll文件是被病毒替换过的还是病毒运行时要调用到的正常文件，百度查了一下C盘也有这个微软的文件。:kaka1:

非拉鐵非 - 2010-4-19 19:42:00

引用:

VirSCAN.org Scanned Report :
Scanned time : 2010/04/19 19:32:19 (CST)
Scanner results: 8%的杀软(3/36)报告发现病毒
File Name : jornalvakio.com
File Size : 287122 byte
File Type : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5 : 115dfe0ec50d0ef5b89a8f45c3b2bcbb
SHA1 : ccd61b722d50df8867ef6018442e299cfed2d065
Online report : http://virscan.org/report/a95a5a0e2769cb15b5418152bcc1fa2c.html
Scanner Engine Ver Sig Ver Sig Date Time Scan result

Microsoft 1.5605 2010.04.19 2010-04-19 6.80 Trojan:Win32/Meredrop
Quick Heal 10.00 2010.04.19 2010-04-19 1.59 Win32.Packed.Katusha.j.4
Sophos 3.06.0 4.52 2010-04-19 3.51 Mal/Generic-L

引用:

VirSCAN.org Scanned Report :
Scanned time : 2010/04/19 19:37:55 (CST)
Scanner results: 全部的杀毒软件报告没有发现病毒!
File Name : bvoqnif.job
File Size : 322 byte
File Type : locale data table
MD5 : 1afce4621d0eedb0981d67a7fb71dd29
SHA1 : af1960f7fd25f5de92695099c8e83b5ec12e863d
Online report : http://virscan.org/report/9cefea9a0e4c4e876e3537e112445632.html
Scanner Engine Ver Sig Ver Sig Date Time Scan result

引用:

VirSCAN.org Scanned Report :
Scanned time : 2010/04/19 19:38:15 (CST)
Scanner results: 全部的杀毒软件报告没有发现病毒!
File Name : msvcp80G.dll
File Size : 74752 byte
File Type : PE32 executable for MS Windows (DLL) (GUI) Intel 80386 32-bi
MD5 : d089eba1820a0f07de82c3e89111cf6e
SHA1 : a01dc3622266fd9fe4dd7c7a07a0100f796e341a
Online report : http://virscan.org/report/c77eb2a097a9c31176c73a5598d96075.html
Scanner Engine Ver Sig Ver Sig Date Time Scan result

念初 - 2010-4-20 0:48:00

卫士v10报了，别的没测

非拉鐵非 - 2010-4-21 7:16:00

我在怀疑，瑞星的上报系统只是用当前的病毒库版本扫描一下，要是没查出病毒就不管了？
这样的上报还有什么意义？

引用:

VirSCAN.org Scanned Report :
Scanned time : 2010/04/21 07:07:34 (CST)
Scanner results: 19%的杀软(7/36)报告发现病毒
File Name : jornalvakio.com
File Size : 287122 byte
File Type : PE32 executable for MS Windows (GUI) Intel 80386 32-bit
MD5 : 115dfe0ec50d0ef5b89a8f45c3b2bcbb
SHA1 : ccd61b722d50df8867ef6018442e299cfed2d065
Online report : http://virscan.org/report/aa5dae3de056c161f1f27dc3afac10d7.html
Scanner Engine Ver Sig Ver Sig Date Time Scan result
a-squared 4.5.0.8 20100421053127 2010-04-21 4.80 Trojan.SuspectCRC!IK
AntiVir 8.2.1.220 7.10.6.145 2010-04-20 0.25 TR/Agen.287122
AVG 8.5.720 271.1.1/2823 2010-04-20 0.21 Generic17.BCSN
Ikarus T3.1.01.80 2010.04.20.75673 2010-04-20 5.75 Trojan.SuspectCRC
Microsoft 1.5703 2010.04.20 2010-04-20 6.28 Trojan:Win32/Meredrop
Quick Heal 10.00 2010.04.20 2010-04-20 1.56 Win32.Packed.Katusha.j.4
Sophos 3.06.0 4.52 2010-04-21 3.52 Mal/Generic-L

networkedition - 2010-4-21 9:11:00

已反馈。

networkedition - 2010-4-21 12:28:00

jornalvakio.com 文件报 Trojan.Win32.Generic.12004D1D其余不是病毒，瑞星病毒库版本：22.42.02.03

瑞星卡卡安全论坛