‹‹ 上一主题 | 下一主题 ››
发新话题
打印

杀不掉的网银大盗——svch0st（一有新样本及时更新中）

ksdc0262015

新兵

积分
40 
威望
53  
元宝
14  
铜钱
18  
1楼 大 中 小 发表于 2008-6-11 20:41  只看该作者

杀不掉的网银大盗——svch0st（一有新样本及时更新中）

病毒报告：

==============================================================
        金山清理专家系统诊断报告
该诊断报告由金山清理专家提供 http://www.duba.net
==============================================================
诊断时间:            2007-03-28, 21:21
诊断平台:            Windows XP [5.1.2600] Service Pack 2
IE版本:              Internet Explorer V6.0.2180.2900
计算机物理内存:      1023(MB)
当前可用内存:        606(MB)
硬盘总大小:          37(GB)
硬盘可用空间:        25(GB)
清理专家版本:        2008.05.30.14
恶意软件库版本:      2008.06.03.1
漏洞库版本:          2008.06.02.1


==============================================================
        常规启动项
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
        [Winstos]             <C:\WINDOWS\\SVCH0S.EXE>
        文件路径: C:\WINDOWS\\SVCH0S.EXE [分析中]

==============================================================
        启动文件夹位置
==============================================================
Common Startup:      C:\Documents and Settings\All Users\「开始」菜单\程序\启动
Startup:             C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
Common Startup:      %ALLUSERSPROFILE%\「开始」菜单\程序\启动
==============================================================
        文件扩展名关联
==============================================================
.M3U            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.WMA            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.MP3            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]

==============================================================
        Host File
==============================================================
127.0.0.1       localhost
==============================================================
        系统服务
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
        [GrayPigeonServer] [已启用]    <C:\WINDOWS\vp.exe>
        文件路径: C:\WINDOWS\vp.exe [分析中]
        [vIDC20] [已启用]              <C:\WINDOWS\SVCH0ST.EXE>
        文件路径: C:\WINDOWS\SVCH0ST.EXE [病毒程序]
        [Windows Firewall] [已启用]    <C:\WINDOWS\system32\xvch0st.exe>
        文件路径: C:\WINDOWS\system32\xvch0st.exe [分析中]

==============================================================
        当前进程
==============================================================
名称:     SVCH0S.EXE  [已启用]
命令行:   C:\WINDOWS\\SVCH0S.EXE
文件路径: C:\WINDOWS\SVCH0S.EXE  [分析中]
模块文件: C:\WINDOWS\system32\ntdll.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\kernel32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USER32.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\GDI32.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\IMM32.DLL                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\ADVAPI32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\RPCRT4.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\Secur32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\LPK.DLL                   (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USP10.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\msvcrt.dll                (Microsoft Corporation)
模块文件: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\E_4\krnln.fnr
模块文件: C:\WINDOWS\system32\WINMM.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\comdlg32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\SHLWAPI.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\COMCTL32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\SHELL32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WINSPOOL.DRV              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\ole32.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\OLEPRO32.DLL              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\OLEAUT32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2_32.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2HELP.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\uxtheme.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\Apphelp.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\VERSION.dll               (Microsoft Corporation)
模块文件: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\E_4\shell.fne
模块文件: C:\WINDOWS\system32\mswsock.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\hnetcfg.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\System32\wshtcpip.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\DNSAPI.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\System32\winrnr.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WLDAP32.dll               (Microsoft Corporation)
模块文件: C:\Program Files\Bonjour\mdnsNSP.dll          (Apple Computer. Inc.)
模块文件: C:\WINDOWS\system32\Iphlpapi.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\rasadhlp.dll              (Microsoft Corporation)
模块文件: C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\E_4\eAPI.fne
模块文件: C:\WINDOWS\system32\MPR.dll                   (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WININET.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\CRYPT32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\MSASN1.dll                (Microsoft Corporation)
名称:     SVCH0ST.EXE  [已启用]
文件路径: C:\WINDOWS\SVCH0ST.EXE  [病毒程序]                (Microsoft)
模块文件: C:\WINDOWS\system32\ntdll.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\kernel32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USER32.DLL                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\GDI32.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\ADVAPI32.DLL              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\RPCRT4.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\Secur32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\MSVCRT.DLL                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\MSVCP60.DLL               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2_32.DLL                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2HELP.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\IMM32.DLL                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\LPK.DLL                   (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USP10.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\mswsock.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\hnetcfg.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\System32\wshtcpip.dll              (Microsoft Corporation)


svch0st：





winstos：



C盘多出的可疑文件（粉碎了还会出来）:

可疑文件下载（暂时没有run.vbs，如果出现一定再及时上传）：


清理专家扫出来的svch0st和winstos被隐藏了，中毒后隐藏文件均无法被显示了，所以无法上传！这2个病毒均以word图标掩饰（本机中没装word）。


病毒危害甚大，请尽量快速处理！！

如需提供更多信息，请务必提出！

[ 本帖最后由 ksdc0262015 于 2008-6-11 15:11 编辑 ]
附件: 您所在的用户组无法下载或查看附件

TOP

q335837381

www.yuyuers.com.cn


中尉

积分
3248 
威望
6499  
元宝
103  
铜钱
528  

周刊评论员

2楼 大 中 小 发表于 2008-6-11 20:59  只看该作者
感谢楼主的样本

TOP

ksdc0262015

新兵

积分
40 
威望
53  
元宝
14  
铜钱
18  
3楼 大 中 小 发表于 2008-6-11 22:33  只看该作者

病毒资料更新

清理专家新的检测——wortable：



报告：

==============================================================
        金山清理专家系统诊断报告
该诊断报告由金山清理专家提供 http://www.duba.net
==============================================================
诊断时间:            2007-03-28, 22:03
诊断平台:            Windows XP [5.1.2600] Service Pack 2
IE版本:              Internet Explorer V6.0.2180.2900
计算机物理内存:      1023(MB)
当前可用内存:        563(MB)
硬盘总大小:          37(GB)
硬盘可用空间:        25(GB)
清理专家版本:        2008.05.30.14
恶意软件库版本:      2008.06.03.1
漏洞库版本:          2008.06.02.1


==============================================================
        启动文件夹位置
==============================================================
Common Startup:      C:\Documents and Settings\All Users\「开始」菜单\程序\启动
Startup:             C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
Common Startup:      %ALLUSERSPROFILE%\「开始」菜单\程序\启动
==============================================================
        文件扩展名关联
==============================================================
.M3U            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.WMA            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.MP3            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]

==============================================================
        Host File
==============================================================
127.0.0.1       localhost
==============================================================
        系统服务
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
        [Wortable] [已启用]            <C:\WINDOWS\serverhelp.exe>
        文件路径: C:\WINDOWS\serverhelp.exe [分析中]

==============================================================
        驱动程序
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
        [ATSpy] [已启用]               <\??\C:\WINDOWS\system32\ATSpy.sys>

==============================================================
        IE扩展按钮
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions
        [番茄花园]
        <{6096E38F-5AC1-4391-8EC4-75DFA92FB32F}>    <http://www.tomatolei.com>

==============================================================
        其他安全区域
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
        [显示摇曳 CPL 扩展]         <deskpan.dll>



附件: 您所在的用户组无法下载或查看附件

TOP

ksdc0262015

新兵

积分
40 
威望
53  
元宝
14  
铜钱
18  
4楼 大 中 小 发表于 2008-6-11 23:07  只看该作者
compmigmto.msc



==============================================================
        金山清理专家系统诊断报告
该诊断报告由金山清理专家提供 http://www.duba.net
==============================================================
诊断时间:            2007-03-28, 22:44
诊断平台:            Windows XP [5.1.2600] Service Pack 2
IE版本:              Internet Explorer V6.0.2180.2900
计算机物理内存:      1023(MB)
当前可用内存:        595(MB)
硬盘总大小:          37(GB)
硬盘可用空间:        25(GB)
清理专家版本:        2008.05.30.14
恶意软件库版本:      2008.06.03.1
漏洞库版本:          2008.06.02.1


==============================================================
        启动文件夹位置
==============================================================
Common Startup:      C:\Documents and Settings\All Users\「开始」菜单\程序\启动
Startup:             C:\Documents and Settings\Administrator\「开始」菜单\程序\启动
Common Startup:      %ALLUSERSPROFILE%\「开始」菜单\程序\启动
==============================================================
        文件扩展名关联
==============================================================
.M3U            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.WMA            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]
.MP3            <"D:\酷狗\KuGou2008\KuGoo.exe" /Open "%1">
文件路径: D:\酷狗\KuGou2008\KuGoo.exe [分析中]

==============================================================
        Host File
==============================================================
127.0.0.1       localhost
==============================================================
        系统服务
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
        [Logical Disk Manaoger] [已启用] <C:\WINDOWS\compmigmto.msc>
        文件路径: C:\WINDOWS\compmigmto.msc [可疑的]
        [Wortable] [已启用]            <C:\WINDOWS\serverhelp.exe>
        文件路径: C:\WINDOWS\serverhelp.exe [分析中]

==============================================================
        当前进程
==============================================================
名称:     compmigmto.msc  [已启用]
文件路径: C:\WINDOWS\compmigmto.msc  [可疑的]
模块文件: C:\WINDOWS\system32\ntdll.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\kernel32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\oleaut32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\ADVAPI32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\RPCRT4.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\Secur32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\GDI32.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USER32.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\msvcrt.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\ole32.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\IMM32.DLL                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\LPK.DLL                   (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\USP10.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\version.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\wsock32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2_32.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WS2HELP.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\uxtheme.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\AVICAP32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WINMM.dll                 (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\MSVFW32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\SHELL32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\SHLWAPI.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\COMCTL32.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\msacm32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\wininet.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\CRYPT32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\MSASN1.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\IMAGEHLP.DLL              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\mpr.dll                   (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\msctfime.ime              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\SOGOUPY.IME               (Sogou.com Inc.)
模块文件: C:\WINDOWS\system32\MSIMG32.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\wdmaud.drv                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WINTRUST.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\msacm32.drv               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\midimap.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\mswsock.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\hnetcfg.dll               (Microsoft Corporation)
模块文件: C:\WINDOWS\System32\wshtcpip.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\DNSAPI.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\System32\winrnr.dll                (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\WLDAP32.dll               (Microsoft Corporation)
模块文件: C:\Program Files\Bonjour\mdnsNSP.dll          (Apple Computer. Inc.)
模块文件: C:\WINDOWS\system32\Iphlpapi.dll              (Microsoft Corporation)
模块文件: C:\WINDOWS\system32\rasadhlp.dll              (Microsoft Corporation)

==============================================================
        IE扩展按钮
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions
        [番茄花园]
        <{6096E38F-5AC1-4391-8EC4-75DFA92FB32F}>    <http://www.tomatolei.com>

==============================================================
        其他安全区域
==============================================================
该项来源: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved
        [显示摇曳 CPL 扩展]         <deskpan.dll>



文件：
附件: 您所在的用户组无法下载或查看附件

TOP

AVEBC

中将(样本管理组)

积分
7369 
威望
14098  
元宝
0  
铜钱
4553  
5楼 大 中 小 发表于 2008-6-12 10:07  只看该作者
感谢楼主提供的样本,我们稍后鉴定,请实时更新毒霸!
我是XO!请你们狠狠的用样本砸死我把!
样本QQ群:34520456
如何扫描SRENG,请点击
http://hi.baidu.com/ksantivirus/blog/item/6c72de90041cc78ea977a4fc.html

TOP

ksdc0262015

新兵

积分
40 
威望
53  
元宝
14  
铜钱
18  
6楼 大 中 小 发表于 2008-6-12 11:29  只看该作者
今日开机又发现如下问题：

附件: 您所在的用户组无法下载或查看附件

TOP

‹‹ 上一主题 | 下一主题 ››
发新话题