遇到让文件夹变文件的 Trojan.Win32.ECode.ee / Trojan-Dropper.Win32.Flystud.ko
来源:互联网 发布:视频变音软件 编辑:程序博客网 时间:2024/05/16 11:45
遇到让文件夹变文件的 Trojan.Win32.ECode.ee / Trojan-Dropper.Win32.Flystud.ko
endurer 原创
2009-04-29 第1版
最近一位朋友的电脑反应很慢,而且出现了奇怪的现象:U盘中原有来文件夹全变成了文件。请偶帮忙看看。
下载 pe_xscan 扫描 log 并分析,发现如下可疑项(进程模块略):
pe_xscan 09-04-28 by Purple Endurer
2009-4-29 13:7:47
Windows XP Service Pack 2(5.1.2600)
MSIE:7.0.5730.11
管理员用户组
正常模式
O4 - HKLM/../Run: [EB1B66] C:/WINDOWS/system32/3D98FC/EB1B66.EXE
O4 - Startup: EB1B66.lnk -> C:/WINDOWS/system32/3D98FC/EB1B66.EXE
Log要比:
生出.exe尾巴?原来是MS-DOS.com,fonts.exe,Default.exe,HelpHost.com等做怪1
http://blog.csdn.net/Purpleendurer/archive/2009/02/23/3929716.aspx
中的简单,也许是卡卡安全助手的U盘免疫功能在起作用。
到 http://purpleendurer.ys168.com 下载 bat_do 和 FileInfo。
用FileInfo提取文件信息,用 bat_do 打包备份后延时删除。
用IceSword终止进程EB1B66.EXE,强制删除文件。
用卡卡安全助手清理病毒启动项。
用WinRAR浏览U盘,发现原来的文件夹还是存在的,只是被隐藏起来了。用attrib 命令去除这些文件夹的隐藏和系统属性。
附:病毒文件信息:
文件说明符 : C:/WINDOWS/system32/3D98FC/EB1B66.EXE
属性 : -SHR
数字签名:否
PE文件:是
获取文件版本信息大小失败!
创建时间 : 2009-4-13 10:35:16
修改时间 : 2009-4-13 10:35:16
大小 : 1403113 字节 1.346 MB
MD5 : 0c7cc2b1b82cae03e9a25f14faf9e4ea
SHA1: 1041469D96DE77EA526350CA9FE4D61EF2708E2A
CRC32: f33b77ec
e3772b2a89fe58267eda1d73d46d229b83731d5ea861716f18561fc940472606ssdeep: 24576:lRylsJDvWrHuW9ly4S6DhQMjiWY0bEAq6J1kU+TPdFpGpH/6CxMSAbhAje
jpRuYs:bylsZvWLLdLaM2WY0QAJb+TQ/RxshAQ+
PEiD..: -TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (62.9%)
Win32 Executable Generic (14.2%)
Win32 Dynamic Link Library (generic) (12.6%)
Clipper DOS Executable (3.3%)
Generic Win/DOS Executable (3.3%)PEInfo: PE Structure information
( base data )
entrypointaddress.: 0x1196
timedatestamp.....: 0x59bffa3 (Mon Dec 25 05:33:23 1972)
machinetype.......: 0x14c (I386)
( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x51ec 0x6000 7.00 670e499c5b780a8681954f88d5fd72b6
.rdata 0x7000 0xa4a 0x1000 3.58 367b7ce38d0c4c17f01e370dc697df5b
.data 0x8000 0x1f58 0x2000 4.61 3c091462b8b46c0a497bde20c727eec4
.data 0xa000 0x22000 0x22000 7.82 61731cd337d924e0b4c229312caf0aae
.rsrc 0x2c000 0x45b0 0x5000 4.33 2848a5a5ec1e2ae2bba1498f6767692d
( 2 imports )
> KERNEL32.dll: GetProcAddress, LoadLibraryA, CloseHandle, WriteFile, CreateDirectoryA, GetTempPathA, ReadFile, SetFilePointer, CreateFileA, GetModuleFileNameA, GetStringTypeA, LCMapStringW, LCMapStringA, HeapAlloc, HeapFree, GetModuleHandleA, GetStartupInfoA, GetCommandLineA, GetVersion, ExitProcess, HeapDestroy, HeapCreate, VirtualFree, VirtualAlloc, HeapReAlloc, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, FreeEnvironmentStringsA, FreeEnvironmentStringsW, WideCharToMultiByte, GetEnvironmentStrings, GetEnvironmentStringsW, SetHandleCount, GetStdHandle, GetFileType, RtlUnwind, GetCPInfo, GetACP, GetOEMCP, MultiByteToWideChar, GetStringTypeW
> USER32.dll: MessageBoxA, wsprintfA
( 0 exports )
PDFiD.: -RDS...: NSRL Reference Data Set
-packers (Kaspersky): PE-Crypt.CF
- 遇到让文件夹变文件的 Trojan.Win32.ECode.ee / Trojan-Dropper.Win32.Flystud.ko
- 学习机罢工?原来是中了文件夹变exe文件的病毒Trojan-Dropper.Win32.Flystud.yo
- 清除Trojan-Dropper.Win32.Dropkit.a病毒
- 某农业产品贸易网挂马Trojan.DL.Win32.Mnless.bes/Trojan-Dropper.Win32.Agent.xdu
- Trojan-Dropper.Win32.Dropkit.a病毒胜利清除
- [07-01-06]打开某IT技术问答网站时自动下载文件sinze.exe/Trojan-Dropper.Win32.Agent.awq
- Trojan:Win32/EyeStye.N
- 有关Trojan-Downloader.Win32.QQHelper.**文件删除
- 无耻的Trojan-psw.win32.onlinegames
- 伪文件夹病毒-文件夹.exe Trojan.Win32.QuickBatch.ab
- ARP病毒加入的网址传播 Trojan.PSW.Win32.OnlineGames,Trojan.DL.Win32.Agent.xaa
- 遭遇Trojan.PSW.Win32.GameOnline,Trojan.PSW.Win32.QQPass等
- Trojan.Win32病毒源码分析
- Trojan-Banker.Win32.Banker (1)
- Trojan-Banker.Win32.Banker (2)
- Trojan-Banker.Win32.Banker (3)
- Trojan.Win32.Scar.cjdy分析
- 遇到Trojan-PSW.Win32.Agent.i(第2版)
- 大家多说黄光裕自杀未遂
- js中设置带中文参数的URL 解决办法
- vs2005 安装与部署
- 工作流任务编辑中为什么选择不到新增加的操作?
- 经典爱情总结
- 遇到让文件夹变文件的 Trojan.Win32.ECode.ee / Trojan-Dropper.Win32.Flystud.ko
- js--分页效果(自己初版)
- 学习ZendStudio调试PHP的资料
- Resin的安装和配置
- 将ADF部署到weblogic遇到的问题
- Vs2005下制作自定义的安装程序(二)
- resin的配置信息
- gethostname 等Windows 下编写QQ的bug 汇总
- Windows下在tomcat中三种部署项目的方法