瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 冒充Marketplace的病毒,附日志请高手分析

12   1  /  2  页   跳转页

[求助] 冒充Marketplace的病毒,附日志请高手分析

收藏
8897603
头像
锋芒艾服狮
  • 帖子:1177
  • 注册: 2005-01-14
  • 来自:
发表于： 2009-01-04 20:55 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

冒充Marketplace的病毒,附日志请高手分析

上着上着网页,发现360安全卫士提示安装系统服务Windows_Marketplace
文件来自c:\windows\Windows_Marketplace
我立刻意识到好像是中毒了,打开了任务管理器,发现了calc.exe,iexplore.exe
是个计算器的图标,但是我没有启动计算器,又联想到某英文网站提供的漏洞信息
(微软尚未提供补丁),中毒了!!
我立刻打开了冰刃,重命名.com,好在程序还能运行,点了下系统检查,系统没有发现任何异常
(作者够牛B),然后点了下"监视进线程创建",发现问题了
据日志反映,应该是网页病毒通过iexplore后台下载了病毒,然后修改了calc.exe,通过此程序
漏洞,安装Windows_Marketplace服务,随后将normaliz.dll插入lsass.exe进程,保护后台下载
首先应该结束掉iexplore.exe!我通过冰刃结束了iexplore.exe,没想到自动又运行了!
对了,先通过冰刃禁止掉创建进线程,ok,calc.exe,iexplore.exe程序被顺利办掉
接下来,就是要替换掉calc.exe和其目录下的cacls.exe,这个病毒及其狡猾,如果直接删掉,
就会自动恢复,如果删掉后创建同名文件夹,则会更改为另外的文件名
只好使用批处理了
del normaliz.dll
mkdir normaliz.dll
恩,又被病毒改名了,趁病毒修改为OLD3A.tmp的时候,在禁止掉进线程创建,让它卡死
哈哈,成功搞定,用同样的方法整掉了cc1.txt(打开以后发现是些网址,估计是病毒配置代码)
calc.exe\cacls.exe
下面不知道该怎么做了
请高手指明分析,附病毒源文件\sreng日志和病毒源地址(怕病毒作者转移,部分病毒代码已经从网页缓存拷出)
现已经将带毒网址屏蔽
hxxp://v4.acode.ifocus.cn/v1/0.js
hxxp://v4.acode.ifocus.cn/v1/
hxxp://iiegf.com/10/yt11.html
hxxp://www.4fwm.com/dpmain/common.js
hxxp://iiegf.com/10/index.htm
hxxp://www.asp-htm.cn/cs.js

没用杀毒软件杀,可能是还有病毒,关闭与网页相关的程序的时候提示错误不能为read请高手分析

用户系统信息：Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) ; .NET CLR 2.0.50727; .NET CLR 3.0.04506.648; .NET CLR 3.5.21022; GreenBrowser)

附件附件:

文件名:bingdu.zip
下载次数:531
文件类型:application/x-zip-compressed
文件大小:
上传时间:2009-1-4 20:54:34
描述:zip

最后编辑8897603 最后编辑于 2009-01-04 21:02:55
分享到：
gototop
 
8897603
头像
锋芒艾服狮
  • 帖子:1177
  • 注册: 2005-01-14
  • 来自:
发表于： 2009-01-04 20:56 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

回复：冒充Marketplace的病毒,附日志请高手分析

现在已经将带毒网址hosts
根据右下角图表显示,应该是还有病毒
但是下载不下来了,请高手分析残余信息
已经将病毒信息提交瑞星病毒处理中心,该死的病毒作者,快去死吧!
最后编辑8897603 最后编辑于 2009-01-04 21:19:52
gototop
 
夲號ヱ被ジ盜
头像
叱咤花甲狮
  • 帖子:7083
  • 注册: 2008-08-21
  • 来自:昆仑琼华派
论坛8周年活动礼物就爱不长大论坛9周年纪念冰激凌10温馨圣诞十周年国庆61周年十一周年勋章
发表于： 2009-01-04 21:20 | 短消息 资料
字号： 小 中 大 3楼

回复: 冒充Marketplace的病毒,附日志请高手分析

将以下文件删除：
    [C:\WINDOWS\system\WBX3245.dll]  [N/A, ]
    [C:\WINDOWS\system\WMW3245.dll]  [N/A, ]
    [C:\WINDOWS\system\WMSYS32.dll]  [N/A, ]
  [C:\WINDOWS\system32\Normaliz.dll]  [N/A, ] (替换正常文件）

将以下启动项删除
[Windows_Marketplace / Windows_Marketplace][Stopped/Disabled]
  <C:\WINDOWS\Windows_Marketplace><N/A>
不认得
C:\WINDOWS\system32\tsd32.dll]
现在我要在虚拟机上试试
Rising21.10.62.002009.01.04Backdoor.Win32.ShangXing.tw

恶意软件：
VirTool:Win32/DelfInject.gen!L
最后编辑夲號ヱ被ジ盜 最后编辑于 2009-01-04 22:10:46
gototop
 
8897603
头像
锋芒艾服狮
  • 帖子:1177
  • 注册: 2005-01-14
  • 来自:
发表于： 2009-01-04 21:21 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

回复：冒充Marketplace的病毒,附日志请高手分析

谢谢楼上的大哥!我用瑞星查下,Backdoor.Win32.ShangXing.tw好像是上兴远程控制
最后编辑8897603 最后编辑于 2009-01-04 21:22:37
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-01-04 21:21 | 短消息 资料
字号： 小 中 大 5楼

回复: 冒充Marketplace的病毒,附日志请高手分析



下载附件里的360粉碎器，复制以下文件路径，运行附件工具，点击“导入文件列表”，选择粘贴文件列表，再点全选和阻止文件再生，再点粉碎文件。

C:\WINDOWS\system\WBX3245.dll
C:\WINDOWS\system\WMW3245.dll
C:\WINDOWS\system\WMSYS32.dll


之后用附件里的internat.rar解压到C:\WINDOWS\SYSTEM\dllcache和C:\WINDOWS\System32下。

使用SREng修复下面各项：

启动项目 －－ 注册表之如下项删除：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <Internat.exe><Internat.exe>  [Microsoft Corporation]

附件附件:

下载次数:234
文件类型:application/x-zip-compressed
文件大小:
上传时间:2009-1-4 21:23:16
描述:zip

附件附件:

文件名:internat.rar
下载次数:103
文件类型:application/octet-stream
文件大小:
上传时间:2009-1-4 21:23:16
描述:rar

最后编辑backway 最后编辑于 2009-01-04 21:24:56
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2009-01-04 21:34 | 短消息 资料
字号： 小 中 大 6楼

回复：冒充Marketplace的病毒,附日志请高手分析

C:\WINDOWS\system32\Normaliz.dll
C:\WINDOWS\system32\tsd32.dll
均为XP SP3系统文件。
gototop
 
夲號ヱ被ジ盜
头像
叱咤花甲狮
  • 帖子:7083
  • 注册: 2008-08-21
  • 来自:昆仑琼华派
论坛8周年活动礼物就爱不长大论坛9周年纪念冰激凌10温馨圣诞十周年国庆61周年十一周年勋章
发表于： 2009-01-04 22:16 | 短消息 资料
字号： 小 中 大 7楼

回复: 冒充Marketplace的病毒,附日志请高手分析




分析结果


刚运行



文件含有ARP攻击内容

文件彻底分析

过了会竟然变成了系统进程！！！
最后编辑夲號ヱ被ジ盜 最后编辑于 2009-01-04 22:17:16
gototop
 
byxxdrls
头像
卡卡反病毒小组
  • 帖子:1029
  • 注册: 2008-06-19
  • 来自:
发表于： 2009-01-05 08:28 | 短消息 资料
字号： 小 中 大 8楼

回复：冒充Marketplace的病毒,附日志请高手分析

上传的calc.exe 和cacls.exe都没问题。估计是在内存中修改calc.exe。
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2009-01-05 09:47 | 短消息 资料
字号： 小 中 大 9楼

网马解密得：

hxxp://iiegf.com/10/index.htm
hxxp://www.weweif.com/10/Mete.exe
gototop
 
RisingCSC
头像
在线技术支持工程师
  • 帖子:4368
  • 注册: 2008-02-26
  • 来自:
发表于： 2009-01-06 17:14 | 短消息 资料
字号： 小 中 大 10楼

回复：冒充Marketplace的病毒,附日志请高手分析

您所上报的文件已经收集，有结果会给您回复。
站内导航：
新人报道  |  反病毒/反流氓软件  |  RAV/RIS求助  |  RFW求助  |  卡卡助手求助
热点推荐：
RIS2009有奖征文  |  春节活动汇总
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT