一个感染样本，大家来玩玩


VirSCAN.org Scanned Report :
Scanned time  : 2008/05/02 11:46:29 (CST)
Scanner results: 61%的杀软(22/36)报告发现病毒
File Name      : 感染.rar
File Size      : 188949 byte
File Type      : RAR archive data, v1d, os
MD5            : c75fc12bbf56d5372a98a958f297e85b
SHA1          : 24bfb4a232a0e0a39e9be7b044828af097bf8c1b
Online report  : http://virscan.org/report/1f7c927e5d3f7178777d95740f82bdcd.html
Scanner        Engine Ver      Sig Ver          Sig Date    Time  Scan result
a-squared      3.5.0.16        2008.05.01        2008-05-01  3.98  -
安博士V3      2008.05.02.00  2008.05.02        2008-05-02  1.25  Win32/Otwycal
AntiVir        7.8.0.11        7.0.3.236        2008-05-01  2.98  Worm/Otwycal.J
Arcavir        1.0.4          200805011110      2008-05-01  2.01  W32.Otwycal.A
AVAST          1.0.8          080501-0          2008-05-01  4.66  Win32:Delf-APJ [Trj]
AVG            7.5.51.442      269.23.7/1410    2008-05-01  7.31  Win32/Small.DE
BitDefender    7.60825.1188973 7.18771          2008-05-02  6.57  Win32.Worm.Otwycal.I
CA (VET)      9.0.0.143      31.3.5752        2008-05-02  19.31  Win32/Caowy!generic virus.
ClamAV        0.93            6997              2008-04-30  0.05  -
Comodo        2.11            2.0.0.512        2008-05-01  1.07  -
CP Secure      1.1.0.715      2008.05.01        2008-05-01  5.67  -
Dr.WEB        4.44.0.9170    2008.04.30        2008-04-30  5.63  BackDoor.Pigeon.6620
ewido          4.0.0.2        2008.05.01        2008-05-01  5.63  -
F-PROT        4.4.1.52        20080501          2008-05-01  1.64  W32/Otwycal.A
F-SECURE      5.51.6100      2008.05.01.03    2008-05-01  5.94  Type_Win32 [AVP]
飞塔          2.81-3.11      9.39              2008-05-02  2.02  W32/Etap.B
ViRobot        20080430        2008.04.30        2008-04-30  0.40  -
IKARUS        T3.1.01.26      2008.05.01.70687  2008-05-01  2.23  Worm.Win32.Otwycal.a
江民杀毒      10.00.650      2008.05.01        2008-05-01  1.43  -
卡巴斯基      5.5.10          2008.04.28        2008-04-28  6.39  -
金山毒霸      2007.6.20.249  2008.5.1          2008-05-01  1.33  Win32.WYCao.a.15652
迈克菲        5.2.00          5286              2008-05-01  4.45  New Win32
Microsoft      1.3408          2008.04.24        2008-04-24  11.73  TrojanDropper:Win32/Agent.CC
MKS_VIR        2.01            2008.05.01        2008-05-01  2.85  -
NORMAN        5.91.10        5.90              2008-04-29  9.45  W32/Otwycal.A
熊猫卫士      9.04.03.0001    2008.04.30        2008-04-30  5.61  W32/Otwycal.A     
趋势          8.500-1001      5.250.08          2008-05-01  0.04  PE_OTWYCAL.MIC
Prevx          V2              20080502          2008-05-02  6.14  -
QuickHeal      9.00            2008.05.01        2008-05-01  2.90  W32.Otwyacal.A
瑞星          20.0            20.42.22.00      2008-04-30  0.63  -
SOPHOS        2.73.0          4.29              2008-05-02  2.83  -
赛门铁克      1.3.0.24        20080501.019      2008-05-01  0.34  -
nProtect      2008-04-30.00  1442203          2008-04-30  5.68  Virus/W32.Otwycal.A
The Hacker    6.2.92          v00298            2008-04-30  0.84  -
VBA32          3.12.6.5        20080430.1911    2008-04-30  1.22  Virus.Win32.Mutant
VirusBuster    4.3.19:9        9.127.4/11.0      2008-04-30  1.32  Win32.Otwycal.Gen


用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; InfoPath.2; MAXTHON 2.0)

样本区的下载附件有权限吗？？

怎么每个都不能下载。。。

附件是一个被感染文件（Entertainment Pack FreeCell Game）。
运行附件后，试图在windows目录下创建windows.ext。被tiny阻止后，就没戏了。

您所在的用户组无法下载或查看附件

您所在的用户组无法下载或查看附件

怎么玩啊  玩煮螃蟹 (*^__^*) 嘻嘻……

没办法，哎

http://bbs.ikaka.com/showtopic-8501268.aspx

分析了一部分，主要是被感染文件中的病毒代码的细节，以及病毒主体文件windows.ext的脱壳（以前的变种似乎是Upack的而不是这个）。因为应该是MSDOS.bat的变种，对病毒主体行为就不再进行详细分析了。

偶还是没办法拿样本~~~~~~~

附件:
您所在的用户组无法下载或查看附件

没＂完＂