大砲開講

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

當執行此惡意程式時，會產生應用程式錯誤的訊息：

執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\ie.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\ie.vbs
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\qq614[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\miantwo[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\stat[1].htm

到目前為止 (2007/5/30 @ 12:25)，下面的防毒軟體可以偵測到這些惡意檔案：

qq614[1].htm:
[ Microsoft ], 『[->(SCRIPT0000)]:TrojanDownloader:JS/Agent.DA』
[ McAfee ], 『VBS/Psyme』
[ Sophos ], 『Mal/Psyme-A』
[ HBEDV ], 『HEUR/Exploit.HTML』
[ Rising ], 『Trojan.DL.JS.Agent.ldf』
[ Ewido ], 『Downloader.Agent.gr』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為：

[DLL injection]
C:\WINDOWS\Help\B7C8A6484EE3.dll

[Added file]
C:\autorun.inf
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\desktop.ini
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\h[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\gmsex[1].exe
C:\Shell.exe
C:\WINDOWS\Help\autorun.inf
C:\WINDOWS\Help\B7C8A6484EE3.dll
C:\WINDOWS\Help\B7C8A6484EE3.exe

[ Added COM/BHO ]
{6FC2B704-28A3-464F-AEA2-034E1107B0C4}-C:\WINDOWS\Help\B7C8A6484EE3.dll

到目前為止 (2007/5/30 @ 09:29)，下面的防毒軟體可以偵測到這些惡意檔案：

B7C8A6484EE3.exe:
[ Trend ], 『TROJ_AGENT.IM』
gmsex[1].exe:
[ Trend ], 『TROJ_AGENT.IM』
h[1].htm:
[ Trend ], 『VBS_PSYME.ALS』
Shell.exe:
[ Trend ], 『TROJ_AGENT.IM』
B7C8A6484EE3.dll:
[ Microsoft ], 『PWS:Win32/Gamania.gen!B』
[ Kaspersky ], 『PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact, PAK:PE_Patch.MaskPE』
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/PSW.Lineage.DN trojan』
[ HBEDV ], 『HEUR/Malware』
autorun.inf:
[ McAfee ], 『W32/USBAgent!inf』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為：

[Added process]
C:\WINDOWS\avp.exe

[Added service]
NAME: VGADown
DISPLAY: Audio Adapter
FILE: C:\WINDOWS\avp.exe

NAME: WS2IFSL (這是正常的服務)
DISPLAY: Windows Socket 2.0 Non-IFS Service Provider Support Environment
FILE: \SystemRoot\System32\drivers\ws2ifsl.sys

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\update[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\mystat[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\test[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\update[1].htm
C:\WINDOWS\avp.exe
C:\WINDOWS\system32\od2media.dll

[Added LSP]
ID: 1012
NAME: MSAFD Tcpip [RAW/IP] (連結至 C:\WINDOWS\system32\od2media.dll)

ID: 1013
NAME: MSAFD Tcpip [TCP/IP] (連結至 C:\WINDOWS\system32\od2media.dll)

到目前為止 (2007/5/30 @ 09:29)，下面的防毒軟體可以偵測到這些惡意檔案：

avp.exe:
[ Trend ], 『TSPY_ONLINEG.ASH』
od2media.dll:
[ Trend ], 『TSPY_ONLINEG.BHX』
update[1].exe:
[ Trend ], 『TROJ_NSANTI.CE』
update[1].htm:
[ Trend ], 『HTML_AGENT.AACU』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為 (會重新開機)：

[Added file]
C:\1.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\g0ld.com
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\System32[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\d[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\qsvj[1].htm
C:\pass.dic
C:\Program Files\Common Files\System\commond.pif
C:\WINDOWS\system32\Shell.exe
C:\WINDOWS\system32\Shell.pci

到目前為止 (2007/5/27 @ 23:44)，下面的防毒軟體可以偵測到這些惡意檔案：

qsvj[1].htm:
[ McAfee ], 『ObfuscatedHtml』
[ Norman ], 『Trojan AsciiExploit.gen』
Shell.exe:
[ Kaspersky ], 『PAK:PE_Patch.UPX, PAK:UPX』
[ McAfee ], 『[GenUnp]:New Malware.b !!』
[ Sophos ], 『Mal/Basine-A』
[ Nod32 ], 『a variant of Win32/Delf.BO worm』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Delphi.Downloader.Gen』
[ Norman ], 『[Heuristic Sandbox detection]:Virus W32/Malware』
System32[1].exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Beta_Gen ], 『Possible_MLWR-5″
[ Symantec ], 『Bloodhound.Packed.29″
[ McAfee ], 『New Malware.bx !!』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
commond.pif:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Beta_Gen ], 『Possible_MLWR-5″
[ Symantec ], 『Bloodhound.Packed.29″
[ McAfee ], 『New Malware.bl !!』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
d[1].exe:
[ Kaspersky ], 『PAK:PE_Patch.UPX, PAK:UPX』
[ McAfee ], 『[GenUnp]:New Malware.b !!』
[ Sophos ], 『Mal/Basine-A』
[ Nod32 ], 『a variant of Win32/Delf.BO worm』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Delphi.Downloader.Gen』
[ Norman ], 『[Heuristic Sandbox detection]:Virus W32/Malware』
g0ld.com:
[ Kaspersky ], 『PAK:PE_Patch.UPX, PAK:UPX』
[ McAfee ], 『[GenUnp]:New Malware.b !!』
[ Sophos ], 『Mal/Basine-A』
[ Nod32 ], 『a variant of Win32/Delf.BO worm』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Delphi.Downloader.Gen』
[ Norman ], 『[Heuristic Sandbox detection]:Virus W32/Malware』
pass.dic:
[ Microsoft ], 『Worm:Win32/Datheens!pwd』
[ McAfee ], 『W32/Emerleox.worm』
[ Nod32 ], 『Win32/Hensis.A worm』

惡意連結是放置在首頁 (可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為：

[DLL injection]
C:\Documents and Settings\Administrator\Desktop\mlang.dll
C:\WINDOWS\system32\rsvp32_2.dll

[Added service]
NAME: SysmonLogTapiSrv
DISPLAY: Performance Logs and Alerts SysmonLogTapiSrv
FILE: C:\WINDOWS\system32\6to4svcr.exe srv

NAME: WS2IFSL (這是正常的服務)
DISPLAY: Windows Socket 2.0 Non-IFS Service Provider Support Environment
FILE: \SystemRoot\System32\drivers\ws2ifsl.sys

[Added file]
C:\Documents and Settings\Administrator\Desktop\mlang.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\1.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\4.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\5.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\6.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\xaC896.tmp
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\Dropper[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\45555_sn[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\zzz[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\inexed[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\zupastik[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\file[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\svchost[1].exe
C:\WINDOWS\system32\6to4svcr.exe
C:\WINDOWS\system32\77089387.dat
C:\WINDOWS\system32\ipv6monl.dll
C:\WINDOWS\system32\msvcrl.dll
C:\WINDOWS\system32\rsvp32_2.dll
C:\WINDOWS\system32\sporder.dll

[Added LSP]
ID: 1012
NAME: MzName (連結至 C:\WINDOWS\system32\rsvp32_2.dll)

ID: 1013
NAME: LAYERED MSAFD Tcpip [TCP/IP]

ID: 1014
NAME: LAYERED MSAFD Tcpip [UDP/IP]

ID: 1015
NAME: LAYERED MSAFD Tcpip [RAW/IP]

ID: 1016
NAME: LAYERED RSVP UDP Service Provider

ID: 1017
NAME: LAYERED RSVP TCP Service Provider

ID: 1018
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{5D08099D-7943-4EA6-A096-1B462434FA54}] SEQPACKET 0

ID: 1019
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{5D08099D-7943-4EA6-A096-1B462434FA54}] DATAGRAM 0

ID: 1020
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{52F2F2DC-BD23-4F3F-B226-3D35AF867824}] SEQPACKET 1

ID: 1021
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{52F2F2DC-BD23-4F3F-B226-3D35AF867824}] DATAGRAM 1

ID: 1022
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{7B4131A8-C8E1-4CFF-996B-D8AFB89B3607}] SEQPACKET 2

ID: 1023
NAME: LAYERED MSAFD NetBIOS [\Device\NetBT_Tcpip_{7B4131A8-C8E1-4CFF-996B-D8AFB89B3607}] DATAGRAM 2

ID: 1024
NAME: LAYERED MzName

到目前為止 (2007/5/24 @ 09:09)，下面的防毒軟體可以偵測到這些惡意檔案：

msvcrl.dll:
[ Trend ], 『TROJ_Generic』
svchost[1].exe:
[ Trend ], 『TSPY_CEDA.AB』
zupastik[1].exe:
[ Trend ], 『TSPY_BZUB.A』
zzz[1].exe:
[ Trend ], 『TSPY_BZUB.A』
5.tmp:
[ Trend ], 『TSPY_BZUB.A』
6.tmp:
[ Trend ], 『TSPY_BZUB.A』
ipv6monl.dll:
[ Trend ], 『TSPY_BZUB.A』
rsvp32_2.dll:
[ Symantec ], 『Trojan.Mespam』
[ Microsoft ], 『[->(Aspack v2.12)]:Trojan:Win32/Mespam.B』
[ Kaspersky ], 『PAK:ASPack, Trojan-Proxy.Win32.Jaber.a』
[ McAfee ], 『Spam-Mespam』
[ Sophos ], 『Troj/SpamToo-AM』
[ Panda ], 『Trj/Spammer.AAZ』
[ Nod32 ], 『a variant of Win32/TrojanProxy.Jaber trojan』
[ Fortinet ], 『W32/SpamToo.A!tr』
[ HBEDV ], 『TR/Faktura.A』
[ Ewido ], 『Proxy.Jaber.a』
4.tmp:
[ Kaspersky ], 『PAK:PE_Patch, PAK:UPack, Trojan-Spy.Win32.Webmoner.cg』
[ McAfee ], 『New Malware.aj !!』
[ Sophos ], 『Mal/Packer』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Crypted』
[ Norman ], 『Security Risk W32/Suspicious_U.gen』
45555_sn[1].exe:
[ Symantec ], 『Trojan.Goldun』
[ Kaspersky ], 『PAK:UPX, Trojan-Spy.Win32.Goldun.ms』
[ McAfee ], 『Generic PWS』
[ Panda ], 『Trj/Goldun.OZ』
[ Nod32 ], 『Win32/Spy.Goldun.NBC trojan』
[ Fortinet ], 『Spy/Goldun』
[ HBEDV ], 『TR/Crypt.FKM.Gen』
[ Norman ], 『Trojan W32/Goldun.ARK』
[ Ewido ], 『Logger.Goldun.ms』
Dropper[1].exe:
[ Kaspersky ], 『PAK:PE_Patch, PAK:UPack, Trojan-Spy.Win32.Webmoner.cg』
[ McAfee ], 『New Malware.aj !!』
[ Sophos ], 『Mal/Packer』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Crypted』
[ Norman ], 『Security Risk W32/Suspicious_U.gen』
file[1].exe:
[ Kaspersky ], 『Trojan-Downloader.Win32.Agent.bkm』
[ McAfee ], 『Downloader-BBS』
[ Sophos ], 『Mal/Clagger-D』
[ HBEDV ], 『TR/Dldr.Agent.bkm.5″
[ Norman ], 『Trojan W32/Agent.BPCB』
[ Ewido ], 『Downloader.Agent.bkm』
mlang.dll:
[ Fortinet ], 『suspicious』
/> [ HBEDV ], 『HEUR/Crypted』
[ Ewido ], 『Logger.Webmoner.cc』

惡意連結是放置在 index.asp (可能要仔細檢查一下囉) 中的 (惡意連結被編碼過)：

執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\play[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\play-a[1].png
C:\WINDOWS\Help\019JDNCT.dll
C:\WINDOWS\Help\019JDNCT.exe

[Added COM/BHO]
{79921D3F-7537-463E-9E38-CD503A8FA485}-C:\WINDOWS\help\019JDNCT.dll

到目前為止 (2007/5/24 @ 09:08)，下面的防毒軟體可以偵測到這些惡意檔案：

019JDNCT.dll:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『PWS:Win32/Frethog.C』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
019JDNCT.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『PWS:Win32/Frethog.C』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
play-a[1].png:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『PWS:Win32/Frethog.C』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』

惡意連結是放置在 event_hot.asp (可能要仔細檢查一下或重新安裝) 中的：

執行之後，有下面的行為 (值入很多東西，情況滿慘的)：

[Added process]
C:\WINDOWS\IMEINPUTS.EXE
C:\WINDOWS\system32\SVCH0ST.EXE
C:\WINDOWS\system32\f91b.exe

[DLL injection]
C:\Documents and Settings\Administrator\Local Settings\Temp\SVCH0ST.exe
C:\Program Files\Internet Explorer\Connection Wizard\isignup.sys
C:\WINDOWS\preupd.dll
C:\WINDOWS\system32\5E9F0D5.DLL
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\mppds.dll
C:\WINDOWS\system32\msccrt.dll
C:\WINDOWS\system32\nwizAsktao.dll
C:\WINDOWS\system32\nwizqjsj.dll
C:\WINDOWS\system32\SVCH0ST.EXE
C:\WINDOWS\system32\upxdnd.dll

[Added service]
NAME: 2FED61CD
DISPLAY: 2FED61CD
FILE: C:\WINDOWS\system32\AE9C6AE4.EXE -d

NAME: fast
DISPLAY: Fast Client
FILE: C:\WINDOWS\system32\f91b.exe

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\009.mdb
C:\Documents and Settings\Administrator\Local Settings\Temp\bofang.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\GTIAPI.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\hbcmd.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\IECONFIG.EXE
C:\Documents and Settings\Administrator\Local Settings\Temp\lfrmewrk.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\mhso.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\mhso0.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\RGInstall.dll
C:\Documents and Settings\Administrator\Local Settings\Temp\SPy.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\SVCH0ST.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\zhu3.com
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\ldasd[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\pop[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\SC0NFIG1[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\SPy[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\007[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\658359[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\bind_50423[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\IECOFIG[1].EXE
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\s[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\wanmeishijie[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\yun[1].js
:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\596139[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\boolan64[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\IECONFIG[1].EXE
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\SPSJ[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\SVCH0ST[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\cj[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\IEXPL0R[1].EXE
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\MCONFIG[1].EXE
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\TIMPLATF0RM[1].exe
C:\Program Files\Internet Explorer\Connection Wizard\isignup.dll
C:\Program Files\Internet Explorer\Connection Wizard\isignup.sys
C:\WINDOWS\0e460.dat
C:\WINDOWS\4603f.avi
C:\WINDOWS\603fa.jpg
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\e4603.cfg
C:\WINDOWS\IMEINPUTS.EXE
C:\WINDOWS\mppds.exe
C:\WINDOWS\msccrt.exe
C:\WINDOWS\preupd.dll
C:\WINDOWS\system32\1-716696
C:\WINDOWS\system32\5E9F0D5.DLL
C:\WINDOWS\system32\7df9.dll
C:\WINDOWS\system32\91b6.dll
C:\WINDOWS\system32\AE9C6AE4.EXE
C:\WINDOWS\system32\cmdbcs.dll
C:\WINDOWS\system32\ctfnom.exe
C:\WINDOWS\system32\df91.dll
C:\WINDOWS\system32\drivers\usbinte.sys
C:\WINDOWS\system32\f91b.exe
C:\WINDOWS\system32\mppds.dll
C:\WINDOWS\system32\msccrt.dll
C:\WINDOWS\system32\nwizAsktao.dll
C:\WINDOWS\system32\nwizAsktao.exe
C:\WINDOWS\system32\nwizqjsj.dll
C:\WINDOWS\system32\nwizqjsj.exe
C:\WINDOWS\system32\nwizwmsjs.dll
C:\WINDOWS\system32\nwizwmsjs.exe
C:\WINDOWS\system32\SVCH0ST.EXE
C:\WINDOWS\system32\upxdnd.dll
C:\WINDOWS\upxdnd.exe

到目前為止 (2007/5/21 @ 14:25)，下面的防毒軟體可以偵測到這些惡意檔案 (除了 ANI 的檔案外)：

SC0NFIG1[1].exe:
[ Trend ], 『TSPY_ONLINEG.BYF』
wanmeishijie[1].exe:
[ Trend ], 『TROJ_INFOSTEA.BI』
0e460.dat:
[ Trend ], 『ADW_RUGO.A』
7df9.dll:
[ Trend ], 『ADW_RUGO.A』
bofang.dll:
[ Trend ], 『ADW_RUGO.A』
boolan64[1].exe:
[ Trend ], 『TROJ_AGENT.AAEO』
df91.dll:
[ Trend ], 『ADW_RUGO.A』
e4603.cfg:
[ Trend ], 『ADW_RUGO.A』
f91b.exe:
[ Trend ], 『ADW_RUGO.A』
hbcmd.dll:
[ Trend ], 『ADW_RUGO.
A』
IECOFIG[1].EXE:
[ Trend ], 『TROJ_INFOSTEA.BE』
lfrmewrk.exe:
[ Trend ], 『ADW_RUGO.A』
msccrt.exe:
[ Trend ], 『TSPY_ONLINEG.BYF』
nwizAsktao.exe:
[ Trend ], 『TROJ_INFOSTEA.BE』
nwizqjsj.exe:
[ Trend ], 『TROJ_INFOSTEA.BI』
RGInstall.dll:
[ Trend ], 『ADW_RUGO.A』
SPSJ[1].exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『PAK:PE_Patch, PAK:UPack』
[ Sophos ], 『Mal/Behav-027″
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/PSW.Agent.NEW trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Norman ], 『Security Risk W32/Suspicious_U.gen』
[ Ewido ], 『Trojan.WOW.qp』
SPy.exe:
[ Microsoft ], 『[->(UPX)]:TrojanDropper:Win32/Dowque.A』
[ Kaspersky ], 『PAK:UPX』
[ Sophos ], 『[FILE:0000]:Mal/QQPass-B』
[ Nod32 ], 『probably a variant of Win32/PSW.QQShou trojan』
[ Fortinet ], 『W32/QQShou.5D42!tr.pws』
[ HBEDV ], 『DR/Delphi.Gen』
[ Norman ], 『Trojan W32/Malware.TQE』
SVCH0ST.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
TIMPLATF0RM[1].exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
upxdnd.dll:
[ Symantec ], 『Infostealer.Gampass』
[ Microsoft ], 『PWS:Win32/Frethog.A!dll』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ McAfee ], 『PWS-LegMir.dll』
[ Sophos ], 『Troj/PSW-Gen』
[ Nod32 ], 『probably a variant of Win32/Genetik trojan』
[ HBEDV ], 『HEUR/Malware』
upxdnd.exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
usbinte.sys:
[ HBEDV ], 『TR/Rootkit.Gen』
5E9F0D5.dll:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ Nod32 ], 『probably a variant of Win32/Agent.NEO trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Norman ], 『Trojan Hupigon.gen66″
007[1].exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
009.mdb:
[ Microsoft ], 『Worm:Win32/Oanum!ini』
91b6.dll:
[ McAfee ], 『Adware-BDSearch』
[ Panda ], 『Adware/Sohu』
[ Rising ], 『Trojan.Mnless.ksj』
[ Ewido ], 『Adware.WSearch』
AE9C6AE4.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ McAfee ], 『New Malware.dm !!』
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/Agent.NEO trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Crypted』
[ Norman ], 『Trojan Hupigon.gen66″
bind_50423[1].exe:
[ Kaspersky ], 『PAK:PE_Patch』
cj[1].exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ McAfee ], 『New Malware.dm !!』
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/Agent.NEO trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Crypted』
[ Norman ], 『Trojan Hupigon.gen66″
cmdbcs.dll:
[ Symantec ], 『Infostealer.Gampass』
[ Microsoft ], 『PWS:Win32/Lmir.gen!B』
[ McAfee ], 『PWS-LegMir.dll』
[ Sophos ], 『Troj/PSW-Gen』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.OnlineGames.bog』
cmdbcs.exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ McAfee ], 『PWS-LegMir.gen.b』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
ctfnom.exe:
[ Kaspersky ], 『PAK:NSPack, Trojan-Downloader.Win32.Small.czl』
[ McAfee ], 『New Malware.aq !!』
[ Sophos ], 『Mal/Packer』
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.FKM.Gen』
GTIAPI.dll:
[ McAfee ], 『Adware-BDSearch』
[ Panda ], 『Adware/Sohu』
[ Rising ], 『Trojan.Mnless.ksj』
[ Ewido ], 『Adware.WSearch』
IECONFIG.EXE:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『PAK:UPX』
[ Sophos ], 『Mal/Behav-044″
[ Panda ], 『Suspicious file』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Dldr.Agent.20827″
IECONFIG[1].EXE:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『PAK:UPX』
[ Sophos ], 『Mal/Behav-044″
[ Panda ], 『Suspicious file』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Dldr.Agent.20827″
IEXPL0R[1].EXE:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ McAfee ], 『PWS-LegMir.gen.b』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
IMEINPUTS.EXE:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『PAK:UPX』
[ Sophos ], 『Mal/Behav-044″
[ Panda ], 『Suspicious file』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Dldr.Agent.20827″
isignup.dll:
[ Microsoft ], 『[->(UPX)]:TrojanDropper:Win32/Dowque.A』
[ Kaspersky ], 『PAK:UPX』
[ Sophos ], 『[FILE:0000]:Mal/QQPass-B』
[ Nod32 ], 『probably a variant of Win32/PSW.QQShou trojan』
[ Fortinet ], 『W32/QQShou.5D42!tr.pws』
[ HBEDV ], 『DR/Delphi.Gen』
[ Norman ], 『Trojan W32/Malware.TQE』
isignup.sys:
[ Sophos ], 『Mal/QQPass
-B』
[ Nod32 ], 『probably a variant of Win32/PSW.QQShou trojan』
[ Fortinet ], 『W32/QQShou.5D42!tr.pws』
[ HBEDV ], 『HEUR/Malware』
ldasd[1].exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
MCONFIG[1].EXE:
[ Kaspersky ], 『PAK:NSPack, Trojan-Downloader.Win32.Small.czl』
[ McAfee ], 『New Malware.aq !!』
[ Sophos ], 『Mal/Packer』
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.FKM.Gen』
mhso0.dll:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
mhso.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Virus W32/Viking.gen5″
mppds.dll:
[ Symantec ], 『Infostealer.Gampass』
[ Microsoft ], 『PWS:Win32/Lmir.gen!B』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ McAfee ], 『PWS-LegMir.dll』
[ Sophos ], 『Troj/PSW-Gen』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.WoWar.ahi』
mppds.exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.tl』
[ Sophos ], 『Mal/Behav:06″
[ Nod32 ], 『probably unknown NewHeur_PE virus [7]『
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.SunOnline.n』
msccrt.dll:
[ Symantec ], 『Infostealer.Gampass』
[ Microsoft ], 『PWS:Win32/Lmir.gen!B』
[ McAfee ], 『PWS-LegMir.dll』
[ Sophos ], 『Troj/PSW-Gen』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.CabalOnline.aia』
nwizAsktao.dll:
[ Kaspersky ], 『Trojan-PSW.Win32.WOW.qp』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.Asktao.e』
nwizqjsj.dll:
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.rc』
[ Panda ], 『Suspicious file』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.OnlineGames.boj』
[ Ewido ], 『Trojan.Nilage.bjp』
nwizwmsjs.dll:
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.sw』
[ Panda ], 『Suspicious file』
[ Nod32 ], 『Win32/PSW.Agent.NFD trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Rising ], 『Trojan.PSW.WorldOnline.gi』
[ Ewido ], 『Trojan.OnLineGames.sw』
nwizwmsjs.exe:
[ Symantec ], 『Infostealer.Gampass』
[ Kaspersky ], 『PAK:PE_Patch, PAK:UPack』
[ Sophos ], 『Mal/Behav-027″
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/PSW.Agent.NEW trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『HEUR/Malware』
[ Norman ], 『Security Risk W32/Suspicious_U.gen』
[ Ewido ], 『Trojan.WOW.qp』
preupd.dll:
[ Symantec ], 『Downloader』
[ Kaspersky ], 『Trojan-PSW.Win32.OnLineGames.qw』
[ Panda ], 『Trj/INService.BL』
[ Fortinet ], 『W32/OnLineGames.QW!tr.pws』
[ HBEDV ], 『TR/Dldr.Agent.20827″
[ Rising ], 『Trojan.PSW.ROCOnline.fp』
[ Ewido ], 『Trojan.OnLineGames.qw』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為：

[DLL injection]
C:\WINDOWS\Web\printers\images\59594F8550.dll

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temp\ie.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\ie.vbs
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\cao714[1].gif
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\swallow[2].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\help2[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\m[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\index6142[1].htm
C:\WINDOWS\Web\printers\images\59594F8550.dll
C:\WINDOWS\Web\printers\images\59594F8550.exe

[ Added COM/BHO ]
{11374E20-CFCA-473D-A81E-233D28856E23}-C:\WINDOWS\Web\printers\images\59594F8550.dll

到目前為止 (2007/5/21 @ 14:46)，下面的防毒軟體可以偵測到這些惡意檔案 (除了 ANI 的檔案外)：

59594F8550.exe:
[ Trend ], 『TSPY_LINEAGE.FJM』
ie.exe:
[ Trend ], 『TSPY_LINEAGE.FJM』
index6142[1].htm:
[ Trend ], 『VBS_PSYME.ACO』
m[1].exe:
[ Trend ], 『TSPY_LINEAGE.FJM』
59594F8550.dll:
[ Trend ], 『Possible_Infostl』
help2[1].htm:
[ Fortinet ], 『VBS/Psyme.DN!tr.dldr』
swallow[2].htm:
[ McAfee ], 『ObfuscatedHtml』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\mystat[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\vip[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\css[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\vip[1].js
C:\WINDOWS\Debug\UserMode\3083516.dll
C:\WINDOWS\Debug\UserMode\3083516.exe
C:\WINDOWS\rising659.exe

[ Added COM/BHO ]
{A4A0D94D-2566-4876-9FC4-C26C6E107C66}-C:\WINDOWS\debug\userMode\3083516.dll

到目前為止 (2007/5/21 @ 09:18)，下面的防毒軟體可以偵測到這些惡意檔案 (除了 ANI 的檔案外)：

3083516.exe:
[ Trend ], 『TROJ_NSPM.FN』
css[1].exe:
[ Trend ], 『TROJ_NSPM.FN』
rising659.exe:
[ Trend ], 『TROJ_NSPM.FN』
3083516.dll:
[ Trend ], 『Possible_Infostl』
vip[1].htm:
[ Kaspersky ], 『Trojan-Downloader.JS.Agent.gj』
[ Ewido ], 『Downloader.Agent.fm』

惡意連結是放置英文首頁 (可能要仔細檢查一下囉) 中的：

惡意程式碼的一部份為：

當執行此惡意程式時，會產生應用程式錯誤的訊息：

執行之後，有下面的行為：

[Added process]
C:\WINDOWS\avp.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\winlogin.exe

[DLL injection]
C:\Documents and Settings\Administrator\Local Settings\Temp\winlogin.exe
C:\WINDOWS\system32\tf2sound.dll

[Added service]
NAME: GrayPigeon
DISPLAY: GrayPigeon
FILE: C:\WINDOWS\winlogone.exe

NAME: VGADown
DISPLAY: Audio Adapter
FILE: C:\WINDOWS\avp.exe

NAME: WS2IFSL (這是正常的服務)
DISPLAY: Windows Socket 2.0 Non-IFS Service Provider Support Environment
FILE: \SystemRoot\System32\drivers\ws2ifsl.sys

[Added file]
C:\Deleteme.bat
:\Documents and Settings\Administrator\Local Settings\Temp\winlogin.exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\server1[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\2[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\12[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\1[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\hker[3].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\hker[4].htm
C:\Program Files\Common Files\System\commond.pif
C:\update~1.exe
C:\update~2.exe
C:\WINDOWS\avp.exe
C:\WINDOWS\system32\delplme.bat
C:\WINDOWS\system32\tf2sound.dll
C:\WINDOWS\winlogone.exe

[Added LSP]
ID: 1012
NAME: MSAFD Tcpip [RAW/IP] (C:\WINDOWS\system32\tf2sound.dll)

ID: 1013
NAME: MSAFD Tcpip [TCP/IP] (C:\WINDOWS\system32\tf2sound.dll)

到目前為止 (2007/5/19 @ 15:30)，下面的防毒軟體可以偵測到這些惡意檔案：

12[1].exe:
[ Trend ], 『TROJ_MARAN.IY』
avp.exe:
[ Trend ], 『TSPY_MARAN.HC』
hker[3].htm:
[ Trend ], 『VBS_SMALL.GJD』
server1[1].exe:
[ Trend ], 『TSPY_LINEAGE.GEN』
tf2sound.dll:
[ Trend ], 『TSPY_MARAN.LE』
winlogin.exe:
[ Trend ], 『TSPY_LINEAGE.GEN』
2[1].exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ Kaspersky ], 『Trojan-PSW.Win32.Maran.dz』
[ Nod32 ], 『a variant of Win32/PSW.Maran trojan』
[ Fortinet ], 『W32/Maran.DZ!tr.pws』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Trojan Hupigon.gen66″
[ Rising ], 『Trojan.IMMSG.TBMSG.eu』
[ Ewido ], 『Trojan.Maran.dz』
commond.pif:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『TrojanDropper:Win32/Hupigon.gen!A』
[ Kaspersky ], 『Backdoor.Win32.Hupigon.bdl』
[ McAfee ], 『BackDoor-AWQ』
[ Sophos ], 『Mal/GrayBird』
[ Alwil ], 『Win32:Hupigon-AK [Trj]『
[ Nod32 ], 『a variant of Win32/Hupigon trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『BDS/Hupigon.bhi』
[ Norman ], 『Trojan W32/Hupigon.AROI』
[ Rising ], 『Trojan.IMMSG.TBMSG.eu』
[ Ewido ], 『Backdoor.Hupigon.awp』
update~1.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ Nod32 ], 『a variant of Win32/Hupigon trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Trojan Hupigon.gen66″
[ Rising ], 『Trojan.IMMSG.TBMSG.eu』
[ Ewido ], 『Trojan.OnLineGames.es』
update~2.exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ Kaspersky ], 『Trojan-PSW.Win32.Maran.dz』
[ Nod32 ], 『a variant of Win32/PSW.Maran trojan』
[ Fortinet ], 『W32/Maran.DZ!tr.pws』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Trojan Hupigon.gen66″
[ Rising ], 『Trojan.IMMSG.TBMSG.eu』
[ Ewido ], 『Trojan.Maran.dz』
1[1].exe:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『VirTool:Win32/Obfuscator.A』
[ Nod32 ], 『a variant of Win32/Hupigon trojan』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』
[ Norman ], 『Trojan Hupigon.gen66″
[ Rising ], 『Trojan.IMMSG.TBMSG.eu』
[ Ewido ], 『Trojan.OnLineGames.es』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

惡意程式碼的一部份為：

當執行此惡意程式後，會產生應用程式錯誤的訊息：

執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\vip[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\vip[1].js
C:\WINDOWS\rising413.exe
C:\WINDOWS\rising613.exe

到目前為止 (2007/5/18 @ 23:13)，下面的防毒軟體可以偵測到這些惡意檔案 (除了 ANI 的檔案外)：

vip[1].htm:
[ Ewido ], 『Downloader.Agent.fm』

預期效益與影響：
執行單位將會定期提供相關數據與報告給參與單位，參與單位可以利用這些資訊，清楚掌控校園內惡意行為之來源，亦可利用這些資訊做相關研究或做日後購買相關安全軟體之參考，以減少校園內惡意程式氾濫之問題。

參與單位 (初期以學校為主)：
完全免費 (原則上，一個單位或學校，架設一個誘捕系統)。參與單位需提供一個真實 IP 與一個或多個虛擬 IP，可以對外連線至管理系統。

Q&A：

Q：此系統會參與單位會有何影響呢？
A：此系統並不會主動發送任何封包，對參與單位之網路無任何影響。

Q：此系統使用哪種作業系統呢？
A：可能是 Debian Linux 或是 Red Hat Linux。

最後，想要參加此計畫之單位 (名額有限)，可以用 E-mail 聯繫我。另外，請各位幫忙將此訊息傳送給大專院校網路管理人員，謝謝。

惡意連結是放置在首頁 (可能要仔細檢查一下囉) 中的：

惡意程式碼的一部份為：

執行之後，有下面的行為：

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\play[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\top[1].js
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\play-a[1].png
C:\WINDOWS\Help\90GTUABC.dll
C:\WINDOWS\Help\90GTUABC.exe

[ Added COM/BHO ]
{79921D3F-7537-463E-9E38-CD503A8FA485}-C:\WINDOWS\help\90GTUABC.dll

到目前為止 (2007/5/17 @ 08:53)，下面的防毒軟體可以偵測到這些惡意檔案：

play-a[1].png:
[ Trend ], 『TSPY_FRETHOG.GI』
90GTUABC.exe:
[ Trend ], 『TSPY_FRETHOG.GI』
90GTUABC.dll:
[ Alpha_Gen ], 『Possible_MLWR-5″
[ Microsoft ], 『PWS:Win32/Frethog.C』
[ Sophos ], 『Mal/EncPk-F』
[ Fortinet ], 『suspicious』
[ HBEDV ], 『TR/Crypt.NSPM.Gen』

惡意連結是放置在首頁 (其他頁面可能要仔細檢查一下囉) 中的：

惡意程式碼的一部份為：

執行之後，有下面的行為 (會造成網站中斷)：

[Added process]
C:\WINDOWS\avp.exe

[DLL injection]
C:\WINDOWS\system32\od7media.dll

[Added service]
NAME: VGADown
DISPLAY: Audio Adapter
FILE: C:\WINDOWS\avp.exe

NAME: WS2IFSL (正常的服務)
DISPLAY: Windows Socket 2.0 Non-IFS Service Provider Support Environment
FILE: \SystemRoot\System32\drivers\ws2ifsl.sys

[Added file]
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\520[1].exe
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\3[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\SEUIMLSE\html[1].htm
C:\WINDOWS\avp.exe
C:\WINDOWS\system32\od7media.dll

[Added LSP]
ID: 1012
NAME: MSAFD Tcpip [RAW/IP] (連結至 C:\WINDOWS\system32\od7media.dll)

ID: 1013
NAME: MSAFD Tcpip [TCP/IP] (連結至 C:\WINDOWS\system32\od7media.dll)

到目前為止 (2007/5/15 @ 16:50)，下面的防毒軟體可以偵測到這些惡意檔案：

520[1].exe:
[ Trend ], 『TSPY_MARAN.LG』
avp.exe:
[ Trend ], 『TSPY_MARAN.LG』
od7media.dll:
[ Trend ], 『TSPY_MARAN.LG』
3[1].htm:
[ Trend ], 『JS_PSYME.ALQ』

惡意連結是放置在中文首頁 (其他頁面可能要仔細檢查一下囉) 中的：

惡意程式碼的一部份為：

執行之後，有下面的行為：

[DLL injection]
C:\WINDOWS\Help\AA304E150D0C.dll

[Added file]
C:\autorun.inf
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\C13NVBMZ\h[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\OXI7BCE5\stat[1].htm
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\Q08VKCK4\gmsex[1].exe
C:\Shell.exe
C:\WINDOWS\Help\AA304E150D0C.dll
C:\WINDOWS\Help\AA304E150D0C.exe
C:\WINDOWS\Help\autorun.inf

[Added COM/BHO]
{E89D8A27-B9C8-4563-A02A-1E474904911B}-C:\WINDOWS\Help\AA304E150D0C.dll

到目前為止 (2007/5/15 @ 18:12)，下面的防毒軟體可以偵測到這些惡意檔案：

h[1].htm:
[ Trend ], 『VBS_PSYME.ALS』
AA304E150D0C.exe:
[ Kaspersky ], 『PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact, PAK:PE_Patch.MaskPE』
[ HBEDV ], 『HEUR/Malware』
autorun.inf:
[ McAfee ], 『W32/USBAgent!inf』
gmsex[1].exe:
[ Kaspersky ], 『PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact, PAK:PE_Patch.MaskPE』
[ HBEDV ], 『HEUR/Malware』
Shell.exe:
[ Kaspersky ], 『PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact, PAK:PE_Patch.MaskPE』
[ HBEDV ], 『HEUR/Malware』
AA304E150D0C.dll:
[ Microsoft ], 『PWS:Win32/Gamania.gen!B』
[ Kaspersky ], 『PAK:PE_Patch.PECompact, PAK:PecBundle, PAK:PECompact, PAK:PE_Patch.MaskPE』
[ Panda ], 『Suspicious file』
[ Nod32 ], 『a variant of Win32/PSW.Lineage.DN trojan』
[ HBEDV ], 『HEUR/Malware』