Прошу проверить файл

[shvager]

Пришло на почту письмо:
Привет , Помнишь меня? )
В архиве мои новые фотки как ты просил...
****.com/My_foto.exe
Целую,
Твоя Леночка
Я скачал его. После запуска компа - несколько минут и перезагрузка. Помгло только форматирование винта и восстановления системи Акронисом
Антивируси говорят что с файлом все гуд. Но!!!

[Bratez]

Касперский антивирус говорит, что это Trojan.Win32.Srizbi.y.
С форматированием вы явно поспешили, мы такое успешно лечим

[shvager]

Млин - делал онлайн проверку на Сайте Касперского - он сказал все гуд

Добавлено через 51 секунду

Нод не роспознал ничего. Доктор Веб также....

Добавлено через 45 секунд

Кстати и AVZ не видит там ничего подозрительного

[Bratez]

Видимо свеженькая модификация...
А AVZ не обладает обширной сигнатурной базой, у нее другое назначение.

[zerocorporated]

Антивируси говорят что с файлом все гуд. Но!!!

Троян создает файлы:
C:\Documents and Settings\%userprofil%\Local Settings\Temp\girls_1024x768.jpeg - Его и показывает
C:\Documents and Settings\%userprofil%\Local Settings\Temp\my_fotos.exe

my_fotos.exe создает файлы:
C:\WINDOWS\system32\drivers\grande48.sys
C:\Documents and Settings\%userprofil%\Local Settings\Temp\_it.bat

Пишет в ключ MountPoints2

Bat файл такого содержания:

:abc
del "C:\DOCUME~1\Rus\LOCALS~1\Temp\my_fotos.exe"
if exist "C:\DOCUME~1\Rus\LOCALS~1\Temp\my_fotos.exe" goto abc
rmdir "C:\DOCUME~1\Rus\LOCALS~1\Temp"
del "C:\DOCUME~1\Rus\LOCALS~1\Temp\_it.bat"

И ещё файл появляется обнаружено: WINDOWS\system32\drivers\Fksn68.sys - его наверное драйвер создает.

Оба драйвера детектируются касперским как:
WINDOWS\system32\drivers\Fksn68.sys Rootkit.Win32.Agent.aih
WINDOWS\system32\drivers\grande48.sys Rootkit.Win32.Agent.aih

[shvager]

Вот онлайн проверка:
ОК
В проверяемом файле вирусов не обнаружено.

Проверенный файл: My_foto.exe



Статистика проверки:
Известных вирусов: 714463 Дата последнего обновления: 18-04-2008
Размер файла (Kb): 250 Тел вирусов: 0
Файлов: 1 Предупреждений: 0
Архивов: 0 Подозрительных: 0

Добавлено через 3 минуты

C:\WINDOWS\system32\drivers\grande48.sys

Вот тот файл точно существовал. Но почему тогда Касперский со своей онлайн проверкой молчит....

[zerocorporated]

Вот тот файл точно существовал. Но почему тогда Касперский со своей онлайн проверкой молчит....

Наверное, потому что онлайн сканер драйвера не устанавливает, а так как это руткит он должен себя скрывать (Это предположение - про онлайн сканер)

Добавлено через 27 минут

Ссылку на троян уберите!

И на будущее файлы с расширением exe которые пришли по почте не советуется запускать.

[shvager]

Лабаратория Касперского уже также отреагировали:

Здравствуйте.
В присланном Вами файле обнаружено новое вредоносное программное обеспечение.
Его детектирование будет включено в очередное обновление антивирусных баз.
Благодарим за оказанную помощь.
---------
С уважением, Владимир Лебедев
Вирусный аналитик
ЗАО "Лаборатория Касперского"

Спасибо всем за советы

[zerocorporated]

Лабаратория Касперского уже также отреагировали:

Здравствуйте.
В присланном Вами файле обнаружено новое вредоносное программное обеспечение.
Его детектирование будет включено в очередное обновление антивирусных баз.
Благодарим за оказанную помощь.
---------
С уважением, Владимир Лебедев
Вирусный аналитик
ЗАО "Лаборатория Касперского"

Спасибо всем за советы

Странно... у меня сразу все файлы детектировались...

[Rene-gad]

Странно... у меня сразу все файлы детектировались...

а я уже ничему не удивляюсь: http://virusinfo.info/showthread.php?t=21771

[shvager]

кстати и avast (обновления сегодня) ничего в этом файле не видит!

[zerocorporated]

кстати и avast (обновления сегодня) ничего в этом файле не видит!

Нет в базах сигнатур и не видит...