【鑑定目的禁止】検出可否報告スレ12

�@はじめに

各ウイルス対策ソフトの検出可否を独自に調査し報告するスレです。
うｐろだはなるべく流れにくいところにしましょう。
特定のウイルス対策ソフトを擁護、非難する書き込みはやめましょう

前スレ
【鑑定目的禁止】検出可否報告スレ11
http://pc11.2ch.net/test/read.cgi/sec/1242606390/


●セキュリティ板専用アプロダ推奨↓
http://tane.sakuratan.com/
・ダウンロードパスワード、解凍パスワードは、できれば、"infected"か "virus"推奨

●検体提出先まとめWiki （参考）
http://rosafe.rowiki.jp/index.php?%B8%A1%C2%CE%C4%F3%BD%D0%C0%E8
各ベンダーの検体提出先（Webフォーム、メールアドレス）、検体提出方法、
推奨される文例、検体提出時の注意事項が掲載されています。

�A議論や意見のまとめ

・圧縮ファイルと検出数
　exeの中身を検査数に入れるソフト、入れないソフトがあります。ご注意を。

・DOSウイルス禁止
　大昔のウイルスを集めてきても無意味なことがあります。

・パスなしZIPをパス有りLZH(またはRAR)で
　安全性と利便性のため、上記の手法を推奨します。

・淡々とやれ淡々と！
　淡々と貼り、淡々といきましょう。煽りなどなしでお願いします。

・ブラクラや危険サイトのURL直リン厳禁
　ブラクラ等、感染サイトなど、想定しないものを無言で貼らないこと。
　怪しいサイトの安全性を鑑定するサイトではありません!

・ここは検出力調査スレなんだから時間の経った報告は、同時点での検出結果比較の対象にならない
　んなこたーない。時間が経過したときにどれだけ対応数が増えているかも重要。　という意見もあり。

・提出した際は必ずその旨記載してね。提出していないときは検出結果を載せてもいいが、
　提出していない旨記載。（ベンダーに多重送付を避けるため）

・ベンダーにより、多少セキュリティ・ポリシーの違いにより、白黒判定で相違がある場合がある。

・スレ違いでもめる(2スレ目以降)

・あらしはスルー。ソフトの優劣の議論は別スレで！!（下記スレなど）

一番いいセキュリティソフトはなんだ!!Part66
http://pc11.2ch.net/test/read.cgi/sec/1245073407/

【重要】
●ここは鑑定スレではありません！！！！！malwareのみお願いします。（割れ、キージェネ、クラッカー厳禁）
　割れ厨やネトゲチート厨がここで鑑定させようとすることがありますが、スルーしてください。

※鑑定したい人は勝手に下のVirusTotalなどを使用してください。

●また、このスレは、検出の結果報告およびベンダーへの連絡を通じて、セキュリティの向上に微力ながら
　貢献することを目的としているスレです。
　検体の悪用・不正利用は厳禁願います。

●検体は、セキュリティ上の観点からなるべく >>1の専用アップローダを使用してください。

●検体確認は自己責任でお願いします。感染しても責任は一切持ちません！
（鑑定スレではないので、無害と判定されたファイルを実行して感染しても責任は一切持ちません！）

※◆W32/Vael.oは信頼できるコテさんです。

★ブラウザから検体をアップロードして複数のAVエンジンでスキャンして検出結果を表示するWebサービス。

・VIRUSTOTAL (略称：VT)
http://www.virustotal.com/jp/

・VirScan
http://www.virscan.org/

・Jotti
http://virusscan.jotti.org/

※エンジンなどの相違により、いくつかのベンダーでは、VTと実際の検出結果が異なるようだ。（例：VT上のカスペ7.0.0.125、最新版2009など）

★各ベンダーへの提出先 （順不同）
・ベンダーにより、Webフォームでの提出と、eメールでの提出などがある。

・ eメールアドレスは、☆→@に読み替えてください。
圧縮パスワードは"infected"推奨.'(特にMcAfee, BitDefender, ESET).。このパスワードで圧縮して添付

>>1の検体提出先まとめWiki も参照してください。
http://rosafe.rowiki.jp/index.php?%B8%A1%C2%CE%C4%F3%BD%D0%C0%E8

●シマンテック （ノートン） [前スレ18]
・Symantec Security Response 〔Upload a suspected infected file：疑わしいファイルの提出〕：新しい提出先。こちらを推奨。
ttps://submit.symantec.com/websubmit/retail.cgi
*ファイルやtxtメモや圧縮ファイル〔Password無し、File数9個未満、10MB未満〕 が提出条件
*裏技：シマへは圧縮フォルダ×2回（圧縮形式不問）で実はツメホーダイだが、対応が確実に遅くなるので非推奨

●ウイルスバスター（トレンドマイクロ）
ttp://inet.trendmicro.co.jp/esolution/supform.asp
バスターユーザー以外は
ttp://www.trendmicro.com/jp/security/virushunter.htm（該当ページ消滅/次スレでは削除？）
ttp://subwiz.trendmicro.com/SubWiz/Wizard.asp?opgWizard=7

●マカフィー　（英語の方が対応が早いかも）
ttp://www.nai.com/japan/security/contactavert.asp (日本語）
ttp://vil.nai.com/vil/submit-sample.aspx （英語）
ttps://www.webimmune.net/　（要登録・英語）
メール：virus_research☆avertlabs.com

●ESET　NOD32アンチウイルス
ttp://training.eset.com/kb/index.php?option=com_kb&Itemid=29&page=articles&articleid=141
e-mail：samples☆eset.com

●Kaspersky（カスペルスキー）
ttp://www.kaspersky.co.jp/
一番下の「新しいウイルスをお知らせ下さい」
e-mail: newvirus☆kaspersky.com

●Avira AntiVir
ttp://www.avira.com/en/support/submit_suspicious_files.html
e-mail：virus_malware☆avira.com

●Rising（ウイルスキラー）[前スレ655,656]
(1) ttp://up.rising.com.cn/webmail/uploadnew.htm
(2) ttp://sample.rising-global.com/webmail/upload_en.htm （英語版）
(3) ttp://mailcenter.rising.com.cn/filecheck/Default.aspx
※（3）は、可疑文件上？＝怪しいファイルの報告.？？文件上？＝誤検知ファイルの報告,圧縮せずに提出、容量制限不明、ブラウザはクッキー保存設定

●Microsoft（マイクロソフト）
ttp://www.microsoft.com/security/portal/submit.aspx
onecare☆submit.microsoft.com
submit_virus☆research.sybari.com
「１fileづつ」で「１０megabytes」までの制限だが、パスワード圧縮してやることで「1fileづつ」の方は制限をクリアできます.[前スレ534]

●Dr.WEB
ttp://drweb.jp/support/virus_sample.html
vms☆drweb.com または vms☆drweb.jp
パスワードはvirus固定

●F-Secure (エフセキュア)
ttp://www.f-secure.co.jp/support/samples/
samples☆f-secure.co.jp

●AVG
ttp://www.grisoft.com/jp.faq.num-771#faq_771
virus☆avg.com

●Ewido (AVG;Anti ;Spyware)
ttp://www.ewido.net/en/malware/（→AVGに変更。次スレでは削除）

●avast!
ttp://www.avast.com/jpn/technical_support.html
virus☆avast.com

●ソフォス（Sophos)
ttp://www.sophos.co.jp/support/queries/#sample
ps://secure.sophos.co.jp/support/samples
ttp://www.sophos.com/support/samples/
ユーザープロダクトキーを持っていなくても、倦怠受付はするが、返答は帰ってこないようだ。[前スレ534,542,549]

●キングソフト・アンチウィルス (Kingsoft)
ttp://www.kingsoft.jp/is/kentai.html
kentai2☆kingsoft.jp

●バイロボット(hauri、ViRobot)
ttp://www.hauri.net/support/support/virus_reg.html?menu=QTAy

●ウイルスドクター　(メールの場合、本国(e-mail 2)の方が速いかも）
ttp://www.virusdoctor.jp/virus/
e-mail 1：labo☆virusdoctor.jp
e-mail 2：virus☆jiangmin.com

●eTrust
ttp://www.caj.co.jp/support/csp/free_policy/virus.htm
virus☆caj.co.jp

●F-PROT; (フォームよりe-mail推奨）
ttp://www.f-prot.com/virusinfo/submission_form.html
e-mail：viruslab☆f-prot.com
F-port宛メールはエンコード後サイズで10,240,000Byte迄

●a2 (a-squared)
ttp://www.emsisoft.jp/EN/support/submit/
e-mail:submit☆emsisoft.com


●ソースネクスト ウイルスセキュリティZERO (K7Computing)
ttp://k7computing.com/Support/newvirus.html
k7viruslab☆k7computing.com

●Panda
ベンダーに問い合わせた結果、下記のアドレスを指示されました
virussamples☆pandasecurity.com

●ArcaBit
ttp://www.arcabit.com/send.html
virus☆arcabit.com

●Proland Software
ttp://www.pspl.com/support/samplesubmit.htm
virsample☆pspl.com?subject=Virus Sample
（メールは、固定タイトルでないと弾かれる模様）

●ClamAV
ttp://cgi.clamav.net/sendvirus.cgi
パスワードはvirus固定。3145728 bytes未満のファイルで。

●Sunbelt
ttp://research.sunbelt-software.com/software_submission.aspx
malware-cruncher☆sunbelt-software.com

●Malwarebytes
ttp://uploads.malwarebytes.org/

●Lavasoft
ttp://upload.lavasoft.com/upload/submit_file.php

●NictaTech Software
ttp://www.nictasoft.com/new-virus/
newvirus☆nictasoft.com

●VirusBuster （※トレンドマイクロ社のウイルスバスターではない。）
ttp://www.virusbuster.hu/en/support/contact/redirect_virus
virus☆vbuster.hu

●ウイルスチェイサー （※ Dr.Webエンジンのため、>>5のDr.Webの窓口に直接送ったほうが良い。）
ttp://www.viruschaser.jp/support_aft.html#q2

●Norman(未圧縮１ファイルづつしか投稿できない）
　http://www.norman.com/security_center/security_tools/submit_file/en
　（↓誤検知報告：まとめて報告可能）
　http://www.norman.com/support/fp/en


●BitDefender [前スレ227]
送付先２：
e-mail：virus_submission☆bitdefender.com（2MBまで？)
ttp://forum.bitdefender.com/index.php?showtopic=3066

●eSafe
ttp://www.aladdin.com/home/csrt/vsubmit.asp（→該当ページ削除/誰か補足を）
virus☆aladdin.co.jp

●アンラボ(AhnLab V3)
・アンラボ(日本)メールで問い合わせたところ、窓口無し、サポート宛のメールで送って欲しいとの返答（詳細は>>1のWiki参照）
　Ahnlab Customer(AhnLab-V3) メール：ahnlabcustomer☆ahnlab.co.jp

[前スレ762]
●BullGuard Internet Security <support☆bullguard.com>

●Central Command(Vexira Antivirus) <virus☆centralcommand.com>

●Intego(VirusBarrier) <sample☆virusbarrier.com>

●Mischel Internet Security(TrojanHunter) <support☆trojanhunter.com>

●Moosoft(The Cleaner) <trojans☆moosoft.com>

●NictaTech Software(Digital Patrol) <newvirus☆nictasoft.com>

●Simply Super Software(Trojan Remover) <submit☆simplysup.com>

●SRN Micro(Solo Antivirus) <support☆srnmicro.com>

●ATShield Ltd.(Anti-Trojan Shield) 　（Webフォーム、3MBまで）
ttp://www.atshield.com/?r=support&pr=submit

●Cybersoft(VFind) ： virus☆cyber.com [前スレ730

検体提出先を一部変更、追記しました。
テンプレ（>>1->>9)、検体提出先(>>4->>9)の変更・追加あれば、>>1にレスする形で指摘よろ。
---------------[テンプレここまで]--------------------------


確認よろしく。


●注記 (テンプレに入れるべき？）
・本文中、検体入手元で■で書いているのは、"."(半角ドット）に読み替え。

・前スレでの検体は、前スレ埋まるまで、なるべく前スレでの報告よろしく。

・GENOウイルス多し。回避策は、以下。
GENOウイルススレ　★22
http://pc11.2ch.net/test/read.cgi/sec/1245640557/

・・初心者のベンダーの検体提出は推奨しません。（感染リスクあるため）
・また、VT注記通り、すべてのベンダーで検出しないからといって、安全性を100%保証するわけではありません。

・オートラン無効推奨。設定方法は、
「外部記憶メディアのセキュリティ対策を再確認しよう！」 ― USB メモリ、便利のウラに落とし穴 ―
ttp://www.ipa.go.jp/security/txt/2008/12outline.html
「 USB メモリのセキュリティ対策を意識していますか？ 」 ― USB メモリの安全な使い方を知ろう ―
ttp://www.ipa.go.jp/security/txt/2009/05outline.html

AV-Test.org - Update Frequency of Anti-Virus Software （1週間の定義更新頻度）
ttp://www.av-test.org/index.php?menue=7&lang=0

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=428
infected

前スレが埋まりそうなので、こっちに投下。
検体提出はAntiVirとAntinyLabsにftp経由で行なっただけです。(現在提出準備中)

■検体入手元
MarwareDatabase（ ttp://malwaredatabase.net/blog/ ）から拾ったもの。
アドレスは…↓の名称からお察し頂けるような気がするので省略。

■検出名称一覧（AntiVirでスルーしたものは他社名称で補完）

1fast-antimalware-scanner.com/1fast-antimalware-scanner.com.htm : Trojan:HTML/FakeXPA(Microsoft)
1fast-antimalware-scanner.com/Setup-6a75f4c_02009-1320.exe : - Not Detected - (Fake AV)
207.159.133.42/11630.exe : TR/Wimpixo.50688A.1 Trojan(AntiVir)
207.159.133.42/wow.exe : TR/Dropper.Gen Trojan(AntiVir)
74.52.164.210/bb090621.exe : Trojan.Win32.Koblu(Ikarus) , Trj/Refpron.N(Panda)
74.52.164.210/bb090621/sopidkc.exe : Backdoor:Win32/Refpron.gen!C(Microsoft)
74.52.164.210/bb090621/tpsaxyd.exe : Backdoor:Win32/Refpron.gen!C(Microsoft)
74.52.164.210/bb090621/wiawow32.sys : Trojan.ATRAPS(Ikarus)
74.52.164.210/sopidkc.exe : TR/Delf.fdg Trojan(AntiVir)
aveyco.cn/installer_70321.exe : TR/Dldr.FraudLoad.evw Trojan(AntiVir)
freett.com/hb.exe : TR/Dldr.Delphi.Gen Trojan(AntiVir)
guardsecurity.info/Setup_build6_102.exe : Trojan.Win32.FraudPack.pfc(Kaspersky)
ina6iq.com/file.exe : TR/Crypt.XPACK.Gen2 Trojan(AntiVir)
nextantivirusplus.com/AntivirusPlus.exe : SPR/FakeAV.1371136 program(AntiVir)
www2.porntube-vip.com/FlashPlayerH264Ext.exe : TR/Downloader.Gen Trojan(AntiVir)

＞テンプレ

>>10
>・GENOウイルス多し。回避策は、以下。
これ、いらないでしょ。

>・オートラン無効推奨。設定方法は、
検体提出するような人にはこの辺もいらないと思う。

>>13
前スレ 765 あたりに文句言っとかないから。

>>12
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

>>12
一通り提出完了

未提出
Norman、Zoner、Lavasoft（なぜか繋がらない。tracertでタイムアウトしてるので上のどっかで切れてる模様）

提出済みなので渡しからは提出せず
Symantec、Panda
（AvastとBitDefenderには提出しました）

>>12
まかふぃー

File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
11630.exe |new detection |generic.dx!te |Trojan |yes
1fast-antimalware-sc|inconclusive | | |no
antivirusplus.exe |current detection |fakealert-df |Trojan |no
bb090621.exe |heuristic detection |beav-shellcode |Application |no
file.exe |inconclusive | | |no
flashplayerh264ext.e|current detection |fakealert-bd |Trojan |no
hb.exe |current detection |generic downloader.x |Trojan |no
installer_70321.exe |current detection |fakealert-df |Trojan |no
setup-6a75f4c_02009-|inconclusive | | |no
setup_build6_102.exe|inconclusive | | |no
sopidkc.exe |current detection |refpron.gen.c |Trojan |no
sopidkc.exe |heuristic detection |beav-shellcode |Application |no
tpsaxyd.exe |heuristic detection |beav-shellcode |Application |no
wiawow32.sys |inconclusive | | |no
wow.exe |new detection |generic pws.y!dp |Trojan |yes

>>12
�d

カスペ2010 20:07
11/15 (スルー4：1fastフォルダ 2 , 11630.exe, AntiVirusPlus.exe)

Trojan-GameThief.Win32.WOW.qlz 　　207.159.133.42/wow.exe
Trojan.Win32.Koblu.re 　　74.52.164.210/bb090621.exe/sopidkc.exe
virus HEUR:Trojan.Win32.Generic 　　74.52.164.210/bb090621.exe
Trojan.Win32.Koblu.re 　　74.52.164.210/bb090621/sopidkc.exe
virus HEUR:Trojan.Win32.Generic 　　74.52.164.210/bb090621/tpsaxyd.exe
Trojan.Win32.Delf.mqh 　　74.52.164.210/sopidkc.exe
Trojan-Downloader.Win32.FraudLoad.evw 　　aveyco.cn/installer_70321.exe
Trojan-Downloader.Win32.Losabel.avp 　　freett.com/hb.exe
Trojan.Win32.FraudPack.pfc 　　guardsecurity.info/Setup_build6_102.exe
Trojan-Spy.Win32.Agent.awmv 　　ina6iq.com/file.exe
Trojan-Downloader.Win32.Obfuscated.ijz 　　www2.porntube-vip.com/FlashPlayerH264Ext.exe


検体提出します。

カスペからの返事
>>12(>>18) 　tane0428
11+3=14/15、残1(11630.exe)

sopidkc.exe - Trojan.Win32.Delf.mqh (検出） (←HEUR:Trojan.Win32.Generic）
tpsaxyd.exe - Trojan-Downloader.Win32.DlfBfkg.em （検出） (←HEUR:Trojan.Win32.Generic）

AntiVirusPro.exe - not-a-virus:FraudTool.Win32.AntivirusPlus.jm
1fast-antimalware-scanner.com.htm - Trojan-Downloader.JS.FraudLoad.a
Setup-6a75f4c_02009-1320.exe - Trojan.Win32.FraudPack.pfq

New malicious software was found in these files.

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=429
　DL virus／解凍 virus

【中身】　７個入っています。MDLの2009/07/02分で、スレ既出を除いた分。
ancom1.ru\install.exe
　ttp://www.virustotal.com/jp/analisis/06eb414ee213ce82eac0088b659fe81ab68820f4e1bf2d630733fd3b08ef8c8a-1246641047 (13/41)
free-full.com\Tupac.-.All.Eyez.On.Me.(1996).exe
　ttp://www.virustotal.com/jp/analisis/ec9e80bb65d1b37fd13249321cf7f102b6a0a2e43cb423661a575d6e19406694-1246639217 (7/41)
vikd3jj-1.com\index.htm
　ttp://www.virustotal.com/jp/analisis/b4d0e295545678502aa374b4bed32af8bc41ce1ab3fe4043a8fc2b53a25020a2-1246639773 (7/40)
vikd3jj-1.com\goodCiceroOf.pdf
　ttp://www.virustotal.com/jp/analisis/02d10db60cac02ac720548844cb358193d7b64fa4859b0736066c4731873c94a-1246640159 (12/41)
vikd3jj-1.com\lookedGoingWhich.swf
　ttp://www.virustotal.com/jp/analisis/5880ededee936ae618be92e47b6fe72d129069026f0d45b7d86478a8deaa413c-1246640304 (8/41)
vikd3jj-1.com\update.exe
　ttp://www.virustotal.com/jp/analisis/b7c2729947c7363799532931f44edc323b43913ce64926db09cf82a4170c1123-1246640493 (17/41)
www.toncom.net\indexn.exe
　ttp://www.virustotal.com/jp/analisis/c0f97e2a3dccff20fd276086821f67ebb7326715fb8040eb51f8f3457cd0620d-1246640775 (22/41)

>>20
AVIRA9 7.01.04.179

●ancom1.ru\install.exe - TR/Dropper.Gen
●free-full.com\Tupac.-.All.Eyez.On.Me.(1996).exe - TR/Dropper.Gen
　vikd3jj-1.com\index.htm - (UNDER ANALYSIS)
●vikd3jj-1.com\goodCiceroOf.pdf - HTML/Shellcode.Gen
　vikd3jj-1.com\lookedGoingWhich.swf - (UNDER ANALYSIS)
●vikd3jj-1.com\update.exe - TR/Dldr.Agent.xqa
●www.toncom.net\indexn.exe - TR/Banker.cnvu

黒5，未検出2。未検出分 提出済み

-----
Kaspersky 2009/07/04 1:52:00

　ancom1.ru\install.exe
●free-full.com\Tupac.-.All.Eyez.On.Me.(1996).exe
▲vikd3jj-1.com\index.htm - HEUR:Trojan-Downloader.Script.Generic
●vikd3jj-1.com\goodCiceroOf.pdf - Exploit.JS.Pdfka.mr
●vikd3jj-1.com\lookedGoingWhich.swf - Exploit.SWF.Agent.bl
●vikd3jj-1.com\update.exe - Trojan.Win32.Inject.afgz
●www.toncom.net\indexn.exe - Trojan.Win32.Agent.cnvu

黒5，HEUR 1，未検出1。HEURと未検出 提出済み

>>20さん乙
Symantecとa-squaredとMalwarebytesに提出しました

コンフィッカーオートランが活動中です。。。ご注意を
ttp://h.imagehost.org/0011/2009-7-4.jpg

Rising 2009 21.45.44 (21.36.44.00)
>>12
207.159.133.42\11630.exe>>upx_c: Dropper.Win32.Undef.zt
207.159.133.42\wow.exe: Trojan.PSW.Win32.WoWar.bhv
74.52.164.210\sopidkc.exe: Trojan.DL.Win32.Undef.ese
freett.com\hb.exe: Worm.Win32.DownLoad.ki
ina6iq.com\file.exe: Trojan.Win32.Obfuscated.frq
5/15
>>20
vikd3jj-1.com\update.exe: Trojan.Win32.Nodef.kjl
free-full.com\2Pac[1].-.All.Eyez.On.Me.45026.exe: Suspicious:Packer.Win32.Agent.aq
1(+1)/7
提出完了(RS2009062300143)

こっちでも一応報告
>>5のRising提出先(1)(3)
RARまたはZIPで圧縮、パスワード付き圧縮・分割圧縮は不可、5MBまで

(2)も多分共通仕様(+Description必須)

>>20
McAfee (Active Protection 無効)4/7
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
goodciceroof.pdf |inconclusive | | |no
lookedgoingwhich.swf|inconclusive | | |no
update.exe |inconclusive | | |no

>>23訂正
RS2009062300143→RS2009070400001

>>20、Rising
2Pac[1].-.All.Eyez.On.Me.45026.exe: Trojan.Win32.Generic.51E9C31C
index.htm: 安全文件
他4ファイル: 分析中

>>21
Kaspersky返答
●vikd3jj-1.com\index.htm - HEUR:Trojan-Downloader.Script.Generic → Trojan-Downloader.JS.Agent.egy

COMODO Internet Security　1538

全スレより
tane423 6/12
tane424 200/200
tane425 33/54
tane426 30/48
tane427 4/7


>>12
12/15

>>20
2/7

未検出分を提出しました

>>20
繋がらなかった、AntinyLabsとLavasoftと、面倒なんでパスしたNormanとZoner以外は一通り提出。

Aviraは２ファイルスルー

昨晩から、Lavasoftに繋がらない。サーバー落ちてるのかな。

カスペ2010 10:02:00
>>12(>>18,19) 　tane0428
11+4=15/15でクローズ

Trojan program Trojan.Win32.Agent2.kuz tane0428\207.159.133.42\11630.exe

>>20�d tane 0429 (>>21,26)
>>21　代理提出�d

カスペ2010 10:02
6+1=7/7でクローズ

Trojan.Win32.FraudPack.pfx tane0429.zip/ancom1.ru/install.exe

検体入手に活用されてた、Marware List が This Account Has Been Suspended になってました。
他のマルウェアアンテナみたいなとこ探さないとなぁ。

>>31さん
それだと『マーウェア』です。。。汁

カスペからの返事
41/48、白5、残2 (totalsecurityフォルダの2ファイル-install.exe, scan.php)

前スレ772 (779,784,787) tane0426
datオーバーで書けなかったので…。

"id.php" , "static.std" and "tupac-all-eyez-on-me-1996.html "
No malicious software was found in the attached file.

>>31
乙です。

●前スレ、最近1週間にうｐされた検体（dat落ちして見れない人用）念のため。レス用。

699 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/27(土) 06:13:19
http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=414
infected

700 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/27(土) 06:55:57
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=415
infected

705 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/27(土) 10:32:46
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=416
infected

706 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/27(土) 23:03:06
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=417
infected

713 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/28(日) 15:50:43
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=418
infected

723 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/29(月) 22:52:53
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=419
infected

732 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/06/30(火) 13:31:27
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=420
infected

742 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/01(水) 01:41:37
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=421
infected

757 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/02(木) 01:47:57
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=422
infected
※リネージュ資料室の更新リスト＋α

760 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/02(木) 08:37:34
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=423
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=424
infected
下は、ZIPの中身は7zのパスなしアーカイブに圧縮してあります。

769 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/03(金) 10:52:23
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=425
infected

772 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/03(金) 16:39:15
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=426
infected


778 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/03(金) 20:05:01
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=427
virus


独立して一検体、一レスにした方がレスしやすいとも思ったけれど、参考用なので、まとめて。

>>35

前スレ742（746-747,753,756,764,768) tane0421
カスペからの返事
80+(7+1)=88/96, 白5 残3 (88.198.234.133フォルダ3files）

bidch.js_　　 -　　 Trojan-Downloader.JS.FraudLoad.b

New malicious software was found in this file.

xindex.php, 　　xplays.php 　- 　No malicious code were found in these files.

723 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/04(土) 18:39:38
Clamwinの常駐保護付きバージョンに、moon secure てのがあるじゃん。
これ自身がウイルス感染してる、って出たんだけど、どうよ。
問題のファイルは２つ。
moonsysh.dll
moontray.exe

結果
http://www.virustotal.com/jp/analisis/082117afbea358be3c4c497632552dc9a536ac26696ae8495904db923a0f7ba5-1245999429
http://www.virustotal.com/jp/analisis/85d128382413b86d0b3ce6cce0d9ad5c70b5d872c57250ef67595b1e50d442cb-1245372772

今まで使ってたんだけど、心配になった。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=430
infected

日替わりscr

VirusTotalでスルーしてるベンダーには全て提出済み。
他のVTに載ってないベンダーも、Norman、Zoner、Lavasoftを除いて全て提出済み。

AntiVir 全検出

>>37

>>3
｜【重要】
｜●ここは鑑定スレではありません！！！！！
｜
｜※鑑定したい人は勝手に下のVirusTotalなどを使用してください。

スルーします。

>>38
マカフィー自動返答。全部ヒューリスティックで検知。

File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
online.zip |heuristic detection |generic backdoor!hv.k |Trojan |no
online.scr |heuristic detection |generic backdoor!hv.k |Trojan |no
xxxcxq.exe |heuristic detection |generic backdoor!hv.k |Trojan |no

>>38
PandaGlobalProtection2010

Virus detected: Trj/CI.A On-demand antivirus scan 2009/07/04 11:46... Deleted 張佑赫.exe
Virus detected: Trj/CI.A On-demand antivirus scan 2009/07/04 11:46... Notified online.zip[online.scr][Ae????.exe]
Suspicious file On-demand antivirus scan 2009/07/04 11:46... Notified online.scr[Ae????.exe]

>>38
GDATAInternetSecurity2010(BitDefender)

Object: (RAR Sfx o)=>張佑赫.exe
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.scr
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.scr=>(RAR Sfx o)=>張佑赫.exe
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.zip
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: 張佑赫.exe
Status: File moved to quarantine
Virus: Trojan.Generic.2050009 (Engine A)

>>38
GDATAInternetSecurity2010(avast!)

Object: 張佑赫.exe
Status: Virus detected
Virus: Win32:Downloader-AZY [Trj] (Engine B)
Object: online.scr
Status: Virus detected
Virus: Win32:Trojan-gen {Other} (Engine B)
Object: online.scr
Status: Virus detected
Virus: Win32:Downloader-AZY [Trj], Win32:Trojan-gen {Other} (Engine B)
Object: online.scr\張佑赫.exe
Status: Virus detected
Virus: Win32:Downloader-AZY [Trj] (Engine B)
Object: online.scr
Status: Virus detected
Virus: Win32:Trojan-gen {Other} (Engine B)
Object: online.zip
Status: Virus detected
Virus: Win32:Downloader-AZY [Trj], Win32:Trojan-gen {Other} (Engine B)

ちなみにNortonはオールスルーでした

34 名前：名無しさん＠お腹いっぱい。[] 投稿日：2009/07/04(土) 23:47:28
�Bavast!（無料のアンチウイルスソフト）で確認
　　http://www.btfree.info/file.php?action-get.html
　　Code by: 790e3cc3feabad9


35 名前：名無しさん＠お腹いっぱい。[sage] 投稿日：2009/07/04(土) 23:56:39
の３はコード入れてダウンロードすると
avastのプロフェッショナルバージョンのkeygenのRARファイルと
表示されるけど無料のavastでチェックしたらマルウェアと診断された・・

Virustotalで解析しても今日現在だと半分以上が黒と診断してる

>>44
http://www.virustotal.com/analisis/982f2a242c478a28427b09cdfdabe6992263c59b86334b1825ba47ebd621dce3-1246721355
Kaspersky・・・

>>44
6/23に各ベンダーに提出済み…だけど、キージェネ系はこのスレではアウトなんだな。

>>45
カスペ返答（出した当日に返答来てます）
keygen.exe
No malicious code was found in this file.

>>44-46
VTの結果が偽keygenなので、私の方でもKasperskyに提出してみました。
　keygen.exe - Trojan.Win32.Agent.cooa
　New malicious software was found in the attached file.

前スレでもありましたが、Kasperskyはアナリストの（技量の）差が明らかにあります。
この辺はちょっと注意ですね。


あと、鑑定っぽくなるんでアレですが、仮想PCでそのkeygen.exeを実行した結果、
　・感染後に作製されるファイルが Trojan-PSW.Win32.Kates.c
　・レジストリのAUXにウイルスの登録
　・sqlsodbc.chmの改変発生

なんで、これgumblarの一種ですね。　前回の騒ぎの時に確保しそこねたファイルか、再活動をはじめたのかは不明ですが．．．

>>47
ちなみに現状。
　ttp://www.virustotal.com/jp/analisis/8ff10c2163de8d0c49935ab8683a4c28b33f9237f43117e71f5ec566b1e00e92-1246770656 (30/41)

むー、Kasperskyは>46さんから受け取ったアナリストの責任が大きいな。　他社からかなり遅れてしまった。

>>44-48　一応、ロダに上げておきます。
ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=431
　DL virus／解凍 virus

【中身】　>44のファイル。2個入っています。
keygenexe
　>48
ohqhdr.gcm
　ttp://www.virustotal.com/jp/analisis/2c6883f2b89060417175bd1b094c056956ab610c9233155ca15d8786a517c0a9-1246771559 (26/41)

AVIRAは両方検出するんで何もしてません。つか、これ新種じゃないし。　Kasperskyは >47の通りです。

>>47
GENO系スレにこそっと貼られてたのはそういう意味だったか。

Ilya Tols****inさん、次からは気をつけてねー (-ﾉ-)/Ωﾁｰﾝ
（プライバシー保護の為、アナリスト名にはマスクをかけてあります）

>>38
Kaspersky2009 2009/07/05 14:10:00
　online.scr - Backdoor.Win32.PcClient.asik
　online.zip - Backdoor.Win32.PcClient.asik
　張佑赫.exe - Backdoor.Win32.PcClient.asik
黒3/3　なので、特に何もしません。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=432
infected

リネージュ資料室の更新リストより。日替わりのscr。AntiVirは全検出。

LavasoftとVTで全検出しているベンダー以外は、NormanやZonerも含め、
Wikiのまとめにある各社全てに提出済みです。（カスペも出してますので再提出不要です）

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=433
infected

■検体入手元■
Malware Database 07/04のもの。FakeAVとFakeCodec。

LavasoftとVTで全検出しているベンダー以外は、NormanやZonerも含め、
Wikiのまとめにある各社全てに提出済みです。
（カスペはVTの結果で全検出だったので提出せず）

■>53の各社検出名■

AntiVirは１ファイルのみ検知
avyodu.cn/installer_70126.exe : TR/Dldr.FraudLoad.evw Trojan

Symantec返答

filename: avyodu.cn.htm
filename: avyciso.cn.htm
　　result: This file is detected as Trojan.Fakeavalert.

filename: installer_70126.exe
　　result: This file is detected as AntiVirus2008.

filename: streamviewer.40014.exe
filename: keygen.Stellar.Phoenix.File.Recovery..3.0.0.1.45088.exe
　　result: See the developer notes

まかふぃー
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
avyciso.cn.htm |current detection |generic fakealert!htm |Trojan |no
avyodu.cn.htm |current detection |generic fakealert!htm |Trojan |no
installer_70126.exe |current detection |fakealert-df |Trojan |no
keygen.stellar.phoen|inconclusive | | |no
streamviewer.40014.e|inconclusive | | |no

>>52
PandaGlobalProtection2010

Virus detected: Trj/CI.A
www.shaimokale.com\張佑赫.exe
www.shaimokale.com\online.zip[online.scr][Ae????.exe]
www.shaimokale.com\online.zip[online.scr]
www.shaimokale.com\online.sc

それ以外はSuspicious fileファイルとして全検出
※今までの検出報告形式だと見づらいと思ったので趣向変えました

>>53
PandaGlobalProtection2010

Suspicious file
greatexe.com\streamviewer.40014.exe
keygen.Stellar.Phoenix.File.Recovery..3.0.0.1.45088.exe

Virus detected: Trj/CI.A
avyodu.cn\installer_70126.exe

>>52
GDATAInternetSecurity2010（avast!＋BitDefender）

Object: 1188.exe
Status: Virus detected
Virus: Win32:Adware-gen [Adw] (Engine B)
Object:www.muswou.com\play.scr
Status: Virus detected
Virus: Win32:Trojan-gen {Other} (Engine B)
Object: play.scr
Status: File moved to quarantine
Virus: Win32:Adware-gen [Adw], Win32:Trojan-gen {Other} (Engine B)
Object: (RAR Sfx o)=>張佑赫.exe
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.scr
Status: File moved to quarantine
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.scr=>(RAR Sfx o)=>張佑赫.exe
Status: Virus detected
Virus: Trojan.Generic.2050009 (Engine A)
Object: online.zip
Status: File moved to quarantine
Virus: Trojan.Generic.2050009 (Engine A)
Object: 張佑赫.exe
Status: File moved to quarantine
Virus: Trojan.Generic.2050009 (Engine A)

>>53
GDATAInternetSecurity2010（avast!+BitDefender）

Object: avyodu.cn.htm
Status: File moved to quarantine
Virus: JS:FakeAV-AH [Trj] (Engine B)
Object: avyciso.cn.htm
Status: File moved to quarantine
Virus: JS:FakeAV-AH [Trj] (Engine B)
Object: installer_70126.exe
Status: File moved to quarantine
Virus: Gen:Trojan.Heur.8202FDA8D9 (Engine A)

>>52
NortonInternetSecurity2009

Trojan Horse：www.muswou.com\play.scr

>>53
NortonInternetSecurity2009

Trojan.Fakeavalert：avyciso.cn.htm、avyodu.cn.htm
AntiVirus2008：installer_70126.exe

カスペ 2010 9.0.0.451CF1ベータ 16:34
CF1テスト中のため、参加遅れた。orz

>>38 �d tane0430
>>51の通り,3/3で閉鎖


>>49 �d tane0431
1/2 、ただし、アナリスト返事で1+1=2/2 (>>44-48)
Trojan program Trojan-PSW.Win32.Kates.cohqhdr.gcm

>>52 �dtane0432
3/5 (www.muswou.com\1188.exe, play.scrスルー)
Backdoor.Win32.PcClient.asjr　　www.shaimokale.com\online.scr 　　\online.zip　　\online.zip 張佑赫.exe

>>53 �d tane 0433
5/5
Trojan-Downloader.HTML.FraudLoad.a　　avyodu.cn\avyciso.cn.htm、 avyodu.cn.htm
Trojan-Downloader.Win32.FraudLoad.evw 　　avyodu.cn\installer_70126.exe
Trojan-Downloader.Win32.CodecPack.ila 　　greatexe.com\keygen.Stellar.Phoenix.*45088.exe, 　　streamviewer.40014.exe

代理提出の方�d

>>34
前スレ705 tane0416 (711,753)

カスペ再提出

5+(1+1)=7/57、白1、残49(porn,scanallフォルダのPHPとjs)

free-tube-orgasm.biz\index.php - Trojan-Downloader.Win32.FraudLoad.ewf

New malicious software was found in this file.

websystemsec.info\websystemsec.info.htm - No malicious code was found in this file.

>>44-49
Kaspersky2009 2009/07/05 20:52:00で検出可能になっています。一応報告。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=434
infected

■ 検体入手元 ■

Malware Database 7/5分より

p://spacefunk■cn/go■php?id=2012&key=b6a0fad62&p=1
p://fast-antimalware-scannerv2■com/1/?id=2012&query=09689f146&q=%3DzQx3zj3NkQNMI%3DN
p://fast-antimalware-scannerv2■com/download/Setup(ランダム)■exe

どうみても、落とすページは Fake AV なんですが、落ちてくるexeはVTでは検出なし。

何度やってもファイル名は違うものの同じバイナリが落ちてくるので配布元がミスっているのか、
新種なので検知しないのか、それともIP見て無害なのを流されたか（それはないか…）

Setup-a3b7f_02012.exe(0/41)
ttp://www.virustotal.com/analisis/a289c049c90a0bcd862926c8f1255275601784cc735e71ed723535ae5ad158d9-1246797993

各社への提出はこれからやります。

>>53
Nortonは残りのファイルはDownloaderとして全検出完了

>>64
Norton2009、Panda2010、GDATA2010、Avira全部スルーでした

検体提出してくれるようなので私は何もしません

>>64
一応、各社に提出完了。配布準備中だったのか…exeは無害なんかねぇ？

F-Secure SAS の結果。
fast-antimalware-scannerv2.com.htmは投稿直後に疑惑ステータス。他はクリーン。

Norman
Setup-a3b7f_02012.exe : Not detected by Sandbox (Signature: NO_VIRUS)

Rising
2. Filename:Setup-a3b7f_02012.exe
No malware.

>>64
Nortonが早速一個検出してくれました

XPAntivirus：Setup-a3b7f_02012.exe

>>64 �d
カスペ2010 22:02
1/6 (DownloadのSetup-*a3f*.exeと、imgの4つの jsファイルはスルー）
Trojan-Downloader.JS.FraudLoad.a 　　\fast-antimalware-scannerv2.com\fast-antimalware-scannerv2.com.htm

カスペからの返事

>>35 tane0421
前スレ742（746-747,753,756,764,768、本スレ>>36) （88.198.234.133）
80+10=90/91/96、　　白5で本件クローズ

index-go.htm_ - Trojan-Downloader.JS.Agent.ehc,
new.exe_ - Trojan-Dropper.Win32.Agent.avfn

search.php - No malicious code was found in this file.

>>34 tane 0419
前スレ723 (727,739,741,753,764)
43+(5+1)=49/56　　,白6,　　回答待ち1 yes.txt)

w ww.free-celeb-videos.net.htm - - Trojan-Downloader.HTML.Agent.pl

>>64,67 乙です。
一通り提出して頂いているようなので、exeだけ単独で送ってみました。
　Setup-a3b7f_02012.exe - Trojan-Downloader.Win32.FraudLoad.ews
　New malicious software was found in this file.

exe単独は返事早いですね。　ということで、実行ファイルは黒でした。

>>38
Norton全検出確認（詳細な検出報告できなくてごめんなさい）

>>52
NortonInternetSecurity2009

Backdoor.Formador：online.zip、online.scr

前スレ772
NortonInternetSecurity2009

Infostealer：w.exe
Trojan Horse：MusicTupac-*.exe

>>34
前スレ705 tane0416 (711,753, >>62)
カスペからの返事

5+(1+1)=7/57、白1+4=5、残45(pornフォルダの 45 PHP files)

scanallviruses.comフォルダ
flist.js_, jquery-init.js_, jquery.js_, scanallviruses.com.htm_

No malicious code were found in these files.

>>44
http://www.filefactory.com/file/agb602e/n/Avast_Professional_Antivirus_v4_8_1229_Keygen_rar
たぶん、これも亜種

>>75
VirusTotal(22/40)
http://www.virustotal.com/analisis/49eb4cb3c408549aeaa3796a1ed07d869c2ee1bc008608aaff62e7b8e03d4229-1241153421

Kaspersky・・・
avast!（笑）

>>75-77
それは本当のKeygenかもしれんので、要注意。（単なるトロイではなく、Keygen＋トロイという可能性）

※ Symantecの所が　Hacktool　になっているのが危ない。パスワード破りのツール等に分類されると、
　　Symantecがこういう検出名を付けることが多い。

今から出張でしばらく不在のため確認できないので、一応注意喚起します。
提出する人はご注意下さい。（特にavastに出す人）

COMODO Internet Security 1551

>>38
3/3

>>49
1/2

>>52
3/5

>>53
2/5

>>64
1/6
Setup-a3b7f_02012.exeのみ検出

>>75
VirusTotalでは反映されてませんが検出します
Heur.Packed.Unknown

未検出分を提出しました。

>>3とスレタイ通り

keygenの類を際限なくチェックしていると、ダウン板住民の格好のおとりになる危険がある。

割れ厨がアップローダに無責任にファイルをあげて、自らの手を汚さず、セキュ板住人に安全性をチェックさせていく構図が生まれる。

nyや洒落で流れている写真屋のキージェネのexeなんて、いくらでもあるぞ。

割れ厨を救済する義理も全くないし、厄介事にもかかわりたくないんだが。


うｐする人も信頼できる人に特定した方がいいのかな。

>>76
そのスキャン結果は5月1日のものだけど
今日の結果ではどうなの？
2ヶ月前の結果出されても参考にならないよ

76ではないが･･･
VirusTotal(25/41)
http://www.virustotal.com/jp/analisis/a87235792c0e2d7f92bd3084777f23535505f6bdf4a11ab0c02e044a571a6d6a-1246738641

>>80
提出するしないは各個人の自由かつ自己責任でいいと思う。

>>76
カスペには一応提出
でも、今後は見合わせる予定。

間違えた(汗
VirusTotal(19/41)
ttp://www.virustotal.com/jp/analisis/49eb4cb3c408549aeaa3796a1ed07d869c2ee1bc008608aaff62e7b8e03d4229-1246859338

>>75
それは本当のavast!（笑）Keygenだな。

検出数とMD5を比較すると
>>76　22/40 (55.00%)　　　3e492441557ae98f27f01df4042625a7
>>84　19/41 (46.35%)　　　3e492441557ae98f27f01df4042625a7

同じファイルの結果だけど2ヵ月後には
a-squared、BitDefender、F-Secure、GData、Normanが白判定に変わって
ClamAV、eSafeが黒判定に変わってるね
Ikarusは白判定で検出のまま変わらず

検出してるところは誤検出の可能性がありそうだね

ttp://enif.mmobbs.com/test/read.cgi/livero/1242218790/242 から来ました。

Value DomainのWebサイト改竄で外部から仕込まれるJavaScript
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=435
infected

VirusTotal(6/41)
ttp://www.virustotal.com/jp/analisis/198b2afe754085b21a488c4fe1965f82e375d7d0ac7a6e66a9ea2a4fd29c20e8-1246868592

>>87
Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

>>87
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
go.jpg |inconclusive | | |no

>>75
カスペからの返事

a.exe （=keygen.exe) 改名して提出した結果

No malicious code was found in this file
.
>>47がTrojan.Win32."Agent" なので、白黒何も言えない。

>>87�d

VT通り、スルー 0/1
提出します。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=436
virus
jsとhtmはmsvidctl.dllの脆弱性のスクリプト。
ttp://www.microsoft.com/japan/technet/security/advisory/972890.mspx
exeはオマケみたいなもん。

>>91
Syamantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

exeはおまけといってるものの一応Symantecから自動返答

filename: trj1_1.exe
machine: Machine
result: See the developer notes

filename: trj1.exe
machine: Machine
result: See the developer notes

>>91
AviraPremiumSecuritySuite

msvideo1.htm [DETECTION] Contains recognition pattern of the HTML/Shellcode.Gen HTML script virus
msvideo1.js [DETECTION] Contains recognition pattern of the HTML/Shellcode.Gen HTML script virus
msvideo2.htm [DETECTION] Contains recognition pattern of the HTML/Shellcode.Gen HTML script virus
msvideo2.js [DETECTION] Contains recognition pattern of the HTML/Shellcode.Gen HTML script virus
nspk1.exe [DETECTION] Is the TR/Crypt.NSPM.Gen Trojan
trj1.exe
[0] Archive type: RSRC
[DETECTION] Is the TR/Spy.Gen Trojan
trj1_1.exe
[0] Archive type: RSRC
[DETECTION] Is the TR/Spy.Gen Trojan

>>91
NortonInternetSecurity2009

Downloader.Fostrem：msvideo1.htm、msvideo1.js、msvideo2.htm、msvideo2.js
Hacktool：nspk1.exe

>>91
PandaGlobalProtection2010

Virus detected: Trj/CI.A：nspk1.exe
Suspicious file：trj1.exe

>>91
GDATAInternetSecurity2010

nspk1.exe
Virus: Trojan.Dropper.RHC (Engine A)
※avast!側でも検出可能

カスペ2010 10:35

>>91�d tane0436
3/7 検体提出します。
Trojan program Exploit.JS.DirektShow.b 　　tane0436\msvideo1.js
Trojan program Exploit.JS.DirektShow.b 　　tane0436\msvideo2.js
not-a-virus:NetTool.Win32.ZXProxy.h 　　tane0436\nspk1.exe


>>87 tane0435（>>90)
0+事後検知1/1で閉鎖
Trojan program Exploit.JS.DirektShow.b 　　tane0435\go.jp （検知）

>>91

マイクロソフト、Video ActiveXコントロールの脆弱性について警告
http://japan.cnet.com/news/sec/story/0,2000056024,20396218,00.htm

『IE』に対する新たなゼロデイ攻撃
http://japan.internet.com/webtech/20090707/12.html

ゼロデイか。
パッチ未提供で、コードが出回っているって。orz
当面は、アドバイザリにしたがい、回避策を実行するしかないのかな。
MSの言い方では、7月の月例パッチには間に合わないように聞こえる。orz

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=437
pass:virus

今朝、スキャンしたら検出しますた。
使用：あばすとー！

>>98
5月のquartz.dllのQuickTime呼び出しの件
ttp://www.microsoft.com/japan/technet/security/advisory/971778.mspx
すら未パッチだしねぇ。

>>99
一応SymantecとPandaとGDATA2010（今回はBitDefenderのみ）に提出しといた

>>91
AntiVir9 全検出

msvideo1.htm : HTML/Shellcode.Gen HTML script virus
msvideo1.js : HTML/Shellcode.Gen HTML script virus
msvideo2.htm : HTML/Shellcode.Gen HTML script virus
msvideo2.js : HTML/Shellcode.Gen HTML script virus
nspk1.exe : TR/Crypt.NSPM.Gen Trojan
trj1.exe : TR/Spy.Gen Trojan
trj1_1.exe : TR/Spy.Gen Trojan

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=438
infected

MalwareDatabase 7/6分より

>>103
AntiVirとAntiyLabsにはftp経由で提出済み。

AntiVir検出結果
bot.anhheo.com/IEupdate.exe : -
cutaiamortgagegroup.cn/load.exe : DR/Delphi.Gen dropper
down.ddosor.cn/1.exe : -
down.ddosor.cn/2.exe : TR/Crypt.FKM.Gen Trojan
down.ddosor.cn/6.exe : TR/Crypt.XPACK.Gen Trojan
down.ddosor.cn/9.exe : TR/Crypt.ULPM.Gen Trojan
download.live-player.com/Live-Player_setup.exe : ADSPY/LivePlayer.A.44 adware or spyware
free-ipodtouch.com/technigo.exe : TR/Dropper.Gen Trojan
inb4sk.com/file.exe : TR/Crypt.XPACK.Gen2 Trojan
msnweb.dyns.net/express.exe : TR/Dropper.Gen Trojan
msnweb.dyns.net/IMG511975310_134453_9198-JPG.EXE : DR/Agent.vad dropper
s10248s0s.tzsx226.2666.com.cn/026.exe : TR/Crypt.FKM.Gen Trojan
tube-best-4free.com/TubeViewer.ver.6.40000.exe : -
tube-best-4free.com/xplay.php : -
www.alfafoxx.com/mbt.exe : TR/Crypt.ZPACK.Gen Trojan
www.hkzj520.com/ok.exe : TR/Dropper.Gen Trojan
xpdeluxeprotector.com/109.exe : TR/Crypt.ZPACK.Gen Trojan
xpdeluxeprotector.com/113.exe : TR/Spy.45059 Trojan
xpdeluxeprotector.com/116.exe : -
zuka.dsl.ge/wetin.exe : DR/Delphi.Gen dropper

>>103
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

カスペからの返事
>>91(>>97) tane0436

3+2=5, 残2(troj1.exe, troj1_1.exe)


msvideo1.htm_, msvideo2.htm_ - Exploit.JS.DirektShow.c

New malicious software was found in these files.

カスペ2010 13:59:00
>>103 �d
tane0438
11/20

Trojan-Dropper.Win32.Wlord.gen 　　\cutai*\load.exe (1/1)
Trojan.Win32.Multis.hl 　　\down.ddosor.cn\2.exe '(2/4, - 　　1.exe,　　 6.exe スルー)
Trojan.Win32.AntiAV.bwg 　　\down.ddosor.cn\9.exe
Trojan-Spy.Win32.TDSS.bk 　　\inb4sk.com\file.exe (1/1)
Trojan.Win32.Agent.cnrq 　　\msnweb.*\express.exe (2/2)
Trojan.Win32.Agent.cnrq 　　\msnweb.*\IMG511975310*JPG.EXE
Backdoor.Win32.Delf.puh 　　\s10248s0s*\026.exe (1/1)
Trojan-Downloader.Win32.FraudLoad.exe 　　\tube-best*\TubeViewer.ver.6.40000.exe (1/2, - xplay.phpスルー)
Packed.Win32.Klone.bh 　　\www.hkzj520.com\ok.exe (1/1)
Trojan-Downloader.Win32.FraudLoad.ewe 　　\xpdeluxeprotector.com\113.exe (1/3,　- 　　109.exe,　　 116.exe スルー))
Detected virus Net-Worm.Win32.Kolab.cnx 　　\zuka.dsl.ge\wetin.exe (1/1)


スルー
bot*\IEupdate.exe,　　download*\ive-Player-Setup.exe, 　　free-ipod\technigo.exe, 　　wwwalfa*\mbt.exe

>>91 >>99 >>103

NormanとZoner以外はマイナー所も含め、一通り提出完了。（一部重複提出になってます。ベンダーさんごめんなさい）

カスペからの返事
>>103 tane0438 (>>107)
11+事後2=13/20 、白1、破損1、残5


xpdeluxeprotector.com\116.exe - Trojan-Downloader.Win32.FraudLoad.exm （返答→KDN検知）
bot.anhheo.com\IEupdate.exe - Trojan.Win32.Autoit.zs （検知）

free-ipodtouch.com\technigo.exe - This file is corrupted. (破損）
download.live-player.com\Live-Player_setup.exe - No malicious software (白)

>>52 (>>61) tane0432
tane0432\www.muswou.com\1188.exe, 　　play.scr　　が未回答＆未検知なのが気になる。

>>90
出張先のため検出可否判断はできないので、関係したこの件についてのコメントだけ...

>44-48のものと>75-77のものは、VTの結果を見ての通り、全くの別物です。
>75にある“亜種”というコメントが間違いです。（各ベンダーの検出時の種類が、ほとんど一致していない）

ですので、>75については、そのまま放置で可だと思います。（Anubisにも投げてみましたが、あまり変な挙動は無い）
# 多分>85が正解。


あと、DirectShow関連のゼロデイ攻撃、一気に増えそうな感じ...皆様乙です。しばらく手伝えませんが、頑張って下さい。

COMODO Internet Security 1573

>>87
スルー

>>91
nspk1.exe：Heur.Pck.NsPack
trj1.exe：Heur.Suspicious@25876964
2/7

>>99
スルー

>>103
down.ddosor.cn\9.exe：TrojWare.Win32.Trojan.Agent.Gen@23093763
inb4sk.com\file.exe：TrojWare.Win32.TrojanSpy.TDSS.~B@25841645
msnweb.dyns.net\express.exe：UnclassifiedMalware@25394088
tube-best-4free.com\TubeViewer.ver.6.40000.exe：Heur.Packed.Unknown
xpdeluxeprotector.com\113.exe：TrojWare.Win32.TrojanDownloader.FraudLoad.~AQZ@25841644
zuka.dsl.ge\wetin.exe：TrojWare.Win32.Trojan.Agent.Gen@19880492
6/20

未検出分を提出しました

カスペからの返事
>>103 tane0438 (>>107,109)
11+事後3=14/20 、白1、破損1、残4

www.alfafoxx.com\mbt.exe - Trojan-Downloader.Win32.Agent.chua

New malicious software was found in the attached file.

今晩、アプロダメンテへとはいりますね

みなさんよろしく

ついでに「某」抜かしました

午前0時にかけてメンテはいります

アプロダメンテ完了

変更点
・ストレージを2GB
・再投稿秒数60秒
・ファイル保持数を5000

以上

あぷろだメンテお疲れ様です。早速利用してみました。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=439
infected

■検体入手元
MalwareDatabase 7/6分より

p://m10b■com/in■cgi?2¶meter=
Redirect to
p://www■specialsuggestion■com/rl_keycmp■php?ct=46LU7&key=
Redirect to
p://m11b■org/in■cgi?2¶meter=
Redirect to
p://fast-filedownload■com/l/6c524f9d7bv7bp6en
Redirect to
p://ez-scanner-online■com/5/11/0/wsetup■exe

>>116
各社一通り提出済み。今回は珍しく、exeの検出率が悪いです。
片方のhtmlは比較的多目のベンダーが引っ掛けますが、exeと6c524f9d7bv7bp6en.htm以外は白判定かも。

AntiVir
6c524f9d7bv7bp6en.htm : HTML/FakeAlert.njh HTML script virus
他スルー

まかふぃー
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
6c524f9d7bv7bp6en.ht|current detection |generic fakealert!htm |Trojan |no
cse.htm |inconclusive | | |no
search.php |inconclusive | | |no
wsetup.exe |inconclusive | | |no

のーとん
filename: 6c524f9d7bv7bp6en.htm
result: This file is detected as Trojan.Fakeavalert.
（他は手動解析）

F-Secure SAS
6c524f9d7bv7bp6en.htm : Trojan-Downloader.HTML.FraudLoad.a
wsetup.exe : Trojan-Downloader.Win32.FraudLoad.exl
他２つは白判定/提出直後はexeが白判定だったけど、暫くしたら黒に変化。

IE Zero-Day attackがらみなんだが

ttp://ilion.blog47.fc2.com/blog-entry-140.html

でレポされてるhellh.netにあるトロイ本体（f.gifと t.gif.gif）
の検出可否の報告がまだみたい（fk.pdfとgo.jpgは既出）なんだけど、
だれか可能な方いますか？

当方でURL踏んでも鯖が404返して検体が手に入らない・・・

>>118
>>91 のオマケのexeがt.gif.gif(を解凍したもの)です。
f.gifは入れ忘れたのでちょっとお待ちを。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=440
virus
swfも入れときました(9.0.115用。それより古いFlashPlayerはｼﾗﾈ)。

>>113-115 あっぷろーだ管理人さん 乙です。
カスペ2010 11:49:00

>>116 �d tane0439
2/4 (m10b\cse.htm 　　 m11b.org\search.php スルー)

Trojan-Downloader.Win32.FraudLoad.exl 　　ez-scanner-online.com\wsetup.exe
Trojan-Downloader.HTML.FraudLoad.a 　　fast-filedownload.com\6c524f9d7bv7bp6en.htm


>>120 �d tane0440
1/3 (i115,swf, 　　n115.swf スルー）
virus Worm.Win32.AutoRun.gfq 　　\tane0440\nspk2.exe

提出します。

カスペ2010 12:58:00
>>120 (>>121) tane0440
1+事後検知2=3/3でクローズ

Trojan program Exploit.SWF.Downloader.nt tane0440\i115.swf （検知）
Trojan program Exploit.SWF.Downloader.nu tane0440\n115.swf （検知）

はえーよｗ

>>120

Pandaへ提出完了（Symantecとavast!、BitDefenderは全検出なので何もせず）

ttp://www.virustotal.com/analisis/208b0ad746cd27e985c21fec5dec1932b013555671b293af2439050e18cbd197-1247032157
ttp://www.virustotal.com/analisis/59c9a0345aae2ee10a0d82fdbae5e87daf12568dfb6e41337283cf08eae63a51-1247032159
ttp://www.virustotal.com/analisis/bf683679fa41afcf3a0fd033b7c996b089bca3e96f93006354f196cd44b1d810-1247032160

>>124の結果から、FlashPlayer関係を3件全部検出してるのは以下の19製品
a-squared, AhnLab-V3, AntiVir, Authentiumm, Avast, AVG, BitDefender, CAT-QuickHeal,
DrWeb, GData, Ikarus, Kaspersky, McAfee-GW-Edition, Microsoft, Norman, PCTools,
Rising, Sophos, Symantec

カスペからの返事

>>103(>>107,109,112) tane0438
11+事後4=15/20、白1、破損1,残3 (1.exe、6.exe、xplay.php)

xpdeluxeprotector.com\109.exe_ - not-a-virus:FraudTool.Win32.Agent.tc

New potentially risk software was found in this file.

>>123
誰か先に提出してくれていた分だと思う。�d。

>>120
McAfee3/3
XP dat5669
i115.swf Exploit-CVE2007-0071
n115.swf Exploit-CVE2007-0071
nspk2.exe New Malware.u

virustotalと実機で結果が違うorz

>>127
extra.dat扱いなんじゃね?

カスペからの返事

>>52(>>61) tane0432
3+事後検出2＝5/5でクローズ

1188.exe_, play.scr_ - Trojan-Dropper.Win32.Small.dog

New malicious software was found in these files.


>>116(>>121) tane0439
2/4、白2でクローズ
m10b.com\cse.htm_,
m11b.org\search.php

No malicious code were found in these files.



>>64(>>69,70)　tane0434
1+1(>>70)=2/6、白1 残3 (*.jsファイル、ちなみにVT再解析しても0/41、白か？)
listfile.js_ - No malicious code was found in this file.

カスペ2010 19:27

>>103(>>107,109,112,126) tane0438
11+事後6=17/20、白1、破損1,残1 (xplay.php)
Trojan-Downloader.Win32.VB.ozn 　　\down.ddosor.cn\1.exe (検知）
Trojan-Downloader.Win32.Agent.chxq　　\down.ddosor.cn\6.exe （返答)

（参考)
>>91,98,110
●MS、Windows XP/Server 2003のIEに対するゼロデイ攻撃への対策ツールを公開 （インプレス）
すでに広範囲で攻撃が確認されており、早急な対策が必要
ttp://www.forest.impress.co.jp/docs/news/20090708_300740.html
ttp://internet.watch.impress.co.jp/docs/special/20090708_300654.html

※中国を中心に最大1000程度のサイトが既にこのスクリプトに感染しており、さらに増加傾向。日本のサイトも被害に。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=441
virus

>>131さん乙
Symantecとa-squaredとMalwarebytesに提出しました
NIS2009で1/7

>>132
McAfee (Active Protection 無効)0/7
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
1.exe |inconclusive | | |no
1_1.exe |inconclusive | | |no
2.exe |inconclusive | | |no
2_1.exe |inconclusive | | |no
2_2.exe |inconclusive | | |no
dldr1.exe |inconclusive | | |no
trj1.exe |inconclusive | | |no

>>131
1.exe
　ttp://www.virustotal.com/jp/analisis/1c11b2d3106f48e1b82c5577691a43d43a422f6d3e7aaf9140d80253778d1a24-1247104083 (16/41)
1_1.exe
　ttp://www.virustotal.com/jp/analisis/0e2466afef665c21f4cfddd5e20ca5a50df47438baf6917732afc209e7ac3f1b-1247104248 (4/41)
2.exe
　ttp://www.virustotal.com/jp/analisis/6fcd89bd14804acf88ab7b189d0b502d00b890f33a1d390840dda63e3678352e-1247105142 (15/41)
2_1.exe
　ttp://www.virustotal.com/jp/analisis/10732ba2789e34635e67d3b20a839591d42ad6c48a876604c1828f1b447bcc46-1247105323 (9/40)
2_2.exe
　ttp://www.virustotal.com/jp/analisis/fc1f5ef3ef6a98066048bd176f255fe469675aa332faf16b34fd072957f19bda-1247106022 (7/41)
dldr1.exe
　ttp://www.virustotal.com/jp/analisis/0026b3df63117860d162117827b0b02199e3b928bb42c84152dbc276f4ad4865-1247106225 (18/41)
trj1.exe
　ttp://www.virustotal.com/jp/analisis/ea66c03ecaa65a319f7b6e85decc7bcb729f3f731dbb03ba4316db840b9013b3-1247106367 (20/41)

VTでAVIRAが未検出の1_1.exeと2_2.exeは、AVIRAに提出しました。
Kasperskyは提出できる状況ではないので、他の人にお任せ。m(_ _)m

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=442
infected

MalwareDatabase 7/8分より


各社一通り提出済み（Norman,Zonerを除く）。今回もexeの検出率が悪いです。

[Detection possible other software]
1856317799/fk.pdf : HTML/Shellcode.Gen HTML script virus(AntiVir)
1856317799/jp.js : JS/Agent.HQ(F-Prot) , Trojan.Malscript!html(Symantec) , JS.EX-ActiveX.1096(ViRobot)
advanedspywarescan.com/Setup-d2f1c46_02022.exe : Trojan:Win32/FakeXPA(Microsoft)
exe-site.com/streamviewer.40069.exe : Trojan-Downloader.Win32.FraudLoad.exw(Kaspersky)
exe-site.com/xplays.php : - Not Detected - (Call streamviewer.40069.exe)

>>120
>>131

いずれも、各社一通り提出完了（Norman,Zonerを除く）。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=443
virus

アメリカの複数のゲーマー向けサイトの広告に入っていたらしい
WoWの中国製パス抜きトロイ

>>135
Rising返答

1. Filename:streamviewer.40069.exe
Virusname:Trojan.Clicker.Win32.Agent.eos

2. Filename:xplays.php
3. Filename:fk.pdf
4. Filename:jp.js
5. Filename:Setup-d2f1c46_02022.exe
No malware.

まぁ、Risingだし・・・・・・・・・・・がんばれ。

ノートン自動返答

>>120
filename: n115.swf
filename: i115.swf
result: This file is detected as Bloodhound.Exploit.193.

filename: nspk2.exe
result: This file is detected as Trojan Horse. http://www.symantec.com/avcenter/venc/data/trojan.horse.html

>>131
filename: trj1.exe
result: This file is detected as Trojan.Dropper. http://www.symantec.com/avcenter/venc/data/trojan.dropper.html

filename: 2_1.exe
filename: 2.exe
filename: 1_1.exe
filename: 1.exe
filename: dldr1.exe
filename: 2_2.exe
result: See the developer notes <手動解析へ>

まかふぃー自動返答

>>135
File Name Findings Detection Type Extra
--------------------|-----------------|------------------|------|-----
fk.pdf |inconclusive | | |no
jp.js |inconclusive | | |no
setup-d2f1c46_02022.|current detection|fakealert-di |Trojan|no
streamviewer.40069.e|inconclusive | | |no
xplays.php |inconclusive | | |no

>>120 >>131
File Name Findings Detection Type Extra
--------------------|-----------------|------------------|------|-----
1.exe |inconclusive | | |no
1_1.exe |inconclusive | | |no
2.exe |new detection |generic pws.y!dw |Trojan|yes
2_1.exe |inconclusive | | |no
2_2.exe |inconclusive | | |no
dldr1.exe |inconclusive | | |no
i115.swf |inconclusive | | |no
n115.swf |inconclusive | | |no
nspk2.exe |inconclusive | | |no
trj1.exe |new detection |generic dropper!do|Trojan|yes

カスペ2010 16:17

>>131�d tane0441 (>>134VT通り)
3/7
Trojan-Dropper.Win32.Small.dnd　　\2_2.exe
virus Worm.Win32.AutoRun.gfw 　　\trj1.exe
Trojan program Trojan-GameThief.Win32.Lmir.cha　　(HEUR:Trojan.Win32.Beep_sys.silent)　　\dldr1.exe

>>135 �d tane0442
2/5
Trojan-Downloader.Win32.FraudLoad.exw 　　\exe-site.com\streamviewer.40069.exe
Exploit.Win32.Pidief.bcx 　　\1856317799\fk.pdf

>>137 �d tane0443
1/2, (wow1_1.exe スルー)
virus HEUR:Trojan.Win32.Generic 　　tane0443\wow1.exe

検体提出します。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=444
virus

AVIRA返答（VTで未検出だったものを提出した結果)

>>134
　1_1.exe - TR/BHO.uds
　2_2.exe - TR/Drop.Small.dnd.6

>>135
　Setup-d2f1c46_02022.exe - MALWARE(genで検出できるようにすると記載）
　streamviewer.40069.exe - TR/Dldr.Agent.xwb

>>137
　wow1_1.exe - CLEAN （白）

あと、>135のxplays.phpｊは、中身が</BODY></HTML>だけの14バイトのファイルなので、
黒判定するベンダーは出ないと思われます。

jp.jsも、中身を見ると黒判定するかどうか、かなり微妙。

>>137
AntiVir wow1_1.exe のみスルー

>>142
AntiVir 全検出

両検体、各社（NormanとZonerを除く)に提出完了。

>>143
>135のxplays.phpｊは<略>
うわ、またやっちまった。orz

指摘サンクス＆各ベンダー担当者さんごめんなさい…（ここで言っても仕方ないけど)

>>133
>>132を>>131に訂正orz

>>142
McAfee (Active Protection 無効)0/5
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
dldr1.exe |inconclusive | | |no
trj1.exe |new detection |generic pws.y!dw |Trojan |yes
trj1_1.exe |inconclusive | | |no
trj2.exe |inconclusive |new malware-e |Virus |no
trj2_1.exe |inconclusive |new malware-e |Virus |no

>>137 >>142 まとめて提出したので

まかふぃー自動返答
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
dldr1.exe |inconclusive | | |no
trj1.exe |new detection |generic pws.y!dw |Trojan |yes
trj1_1.exe |inconclusive | | |no
trj2.exe |inconclusive |new malware-e |Virus |no
trj2_1.exe |inconclusive |new malware-e |Virus |no
wow1.exe |current detection |generic.dx!us |Trojan |no
wow1_1.exe |inconclusive | | |no

被ったけど、検出漏れがあるよりいいよねってことで気にせず…

>>137 >>142

Rising返答。珍しく全検出。

1. Filename:dldr1.exe
Virusname:Backdoor.Win32.Undef.edl

2. Filename:trj1_1.exe
Virusname:Trojan.PSW.Win32.GameOLx.di

3. Filename:trj2.exe
4. Filename:trj2_1.exe
Virusname:Trojan.PSW.Win32.GameOnline.dxv

5. Filename:wow1_1.exe
6. Filename:wow1.exe
Virusname:Trojan.PSW.Win32.OnlineGame.zkc

7. Filename:trj1.exe
Virusname:Trojan.PSW.Win32.OnlineGame.zjz

検出可否確認せずにベンダーへ送るのやめようよ
Risingはただでさえ解析が遅いのに・・・

>>148
それが可能な時はやってます。

現在、私が提出してるのはこれだけ(↓)あります。
メールで43社、Webフォームから14社(うち2社は省略すること多し)、FTPから2社。

このそれぞれに対して、検出可否を確認した上で提出検体を振り分けて、未検出分のみにしろというのは
現実的ではありません。検出するものであれば、今回のように、機械的に返答して終わりなのですから
（同一検体が複数回届くのに比べたら）そんなに労力の増加には繋がらないはずです。
提出されないよりは、重複したり既知のものであっても送った方が良いという方針で処理しています。

(時間のない時はごめんなさいで、スレチェックせずにそのまま送ってますが)、可能な範囲で、提出報告の
あったものについては重複しないように提出先から省いています。

>>148のようにお考えでしたら、ご自身で検出可否をチェックされた上で、ベンダーに提出し、提出したことを
ここに報告してください。そうしたら、そのベンダーへの提出をこちらではスルーできます。

カスペからの返事

>>131(>>141) tane0441
3+1=4/7、残3
2.exe　 -　Trojan-GameThief.Win32.WOW.ijz

>>135 (>>141) tane0442
2+1=3/5、残2
Setup-d2f1c46_02022.exe_ -　　 Trojan-Downloader.Win32.FraudLoad.eyb

New malicious software was found in this file.

カスペ2010 18:29:00
>>142 �d tane0444
1/5
Trojan-GameThief.Win32.OnLineGames.bmko 　　tane0444\trj2.exe
検体提出します。

>>150
＞　>>142 �d tane0444
＞　検体提出します。

>144でカスペにも提出完了してます…けど、パターン更新してもうちへの返答は結構後回しにされること多いので
返答欲しいなら別途提出するのは正解かもしれない。

カスペからの返事

>>131 (>>141) tane0441
3/7、白1, 残3
1.exe - No malicious code was found in this file.


>>137 (>>141) tane0443
1/2、残1 (wow1_1.exe)
wow1.exe_ - Trojan-GameThief.Win32.WOW.ijy　　 (←HEUR:Trojan.Win32.Generic)


>>142(>>150) tane0444
1+事後=3=4/5 (残 dldr1.exe)
trj1.exe - Trojan-GameThief.Win32.WOW.ijz
trj1_1.exe 　-　 Trojan-PSW.Win32.Agent.nja　
trj2_1.exe　 -　 Trojan-PSW.Win32.QQPass.kej


>>151
んー、検査している順番がわからない。
返事を返さないアナリストもいるらしい。
救急搬送トリアージ的な発想で、常連は後回しにされてそう。（また、こいつか？みたいな）

>>137 >>143
カスペ返答(>152 残件も返答あり)

137 (2/2)
143 (5/5) でクローズ

dldr1.exe_ - Trojan-Downloader.Win32.Tiny.cew,
trj1.exe_ - Trojan-GameThief.Win32.WOW.ijz,
trj1_1.exe_ - Trojan-PSW.Win32.Agent.nja,
trj2_1.exe_ - Trojan-PSW.Win32.QQPass.kej,
wow1.exe_, wow1_1.exe_ - Trojan-GameThief.Win32.WOW.ijy

New malicious software was found.

trj2.exe_ - Trojan-GameThief.Win32.OnLineGames.bmko

This file is already detected.

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=445
infected

○ 検体入手元 ○
FakeAV MalwareDatabase 7/9分より
p://securedvirusscan■com/download/Setup-4e45_02022■exe

○ VirusTotal ○
Setup-4e45_02022■exe (0/41)
ttp://www.virustotal.com/analisis/d0bf2dfddf95b4ae667c59e0181b9a6154a42a371eecd2bef34a238d2c58de04-1247149232


各社一通り提出完了。

カスペからの返事

>>135 tane0442
2+2=4/5、白1でクローズ

jp.js_ - Trojan-Downloader.JS.Iframe.bjt
xplays.php - 白

>>153 �d
>>142 5/5 クローズ tane0444に訂正

>>154
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
setup-4e45_02022.exe|inconclusive | | |no

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=446
virus

>>157
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

カスペ2010 12:27

>>157 �d tane0446
>>3/6 (HEUR2) HEUR含め検体提出します。
virus HEUR:Exploit.Script.Generic　　　msvideo2_1.js
virus HEUR:Exploit.Script.Generic　　 msvideo2_2.js
not-a-virus:NetTool.Win32.ZXProxy.gn 　　pcker1.exe


>>154 �d tane0445
0/1のまま
こちらからも再提出

>>157
McAfee (Active Protection 無効)1/6
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
aspk1dldr.exe |current detection |generic.dx |Trojan |no
msvideo2_1.js |inconclusive | | |no
msvideo2_2.js |inconclusive | | |no
pcker1.exe |new detection |generic backdoor!ef |Trojan |yes
trj2.exe |inconclusive | | |no
trj2_1.exe |inconclusive | | |no

>>157 (>>159) tane0446
3+1=4/6 ,白1, 残1 (trj2_1.exe)
Trojan.JS.Agent.ajl -　　msvideo2_1.js、　　msvideo2_2.js (←virus HEUR:Exploit.Script.Generic)
trj2.exe_ - 　　 Trojan.Win32.Agent2.kwa
aspk1dldr.exe - 　　No malicious code was found in this file.


>>91(>>97,106) tane0436
3+事後検出4=7/7でクローズ
trj1.exe_ - 　Trojan-Dropper.Win32.Agent.avpr
trj1_1.exe_ - 　Trojan.Win32.BHO.vng

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=447
infected

検体入手元
MalwareDatabase 7/9分より

tp://go-go-tube■com/xplays■php?id=40069
tp://red-exe■com/onlinemovies■[40000-40100]■exe
p://youtube-adult■name/
p://upload■octopus-multimedia■be/1/pdrv■exe
p://upload■octopus-multimedia■be/1/pp■10■exe
p://arplgm■cn/a■exe
p://youtube-adult■name/setup■exe
p://youtube-adult■name/VideoCodec■exe
p://youtube-adult■name/Mediacodec■exe
p://imagehut3■cn/images/evilItTheir■pdf
p://imagehut3■cn/images/update■php
p://missing-codecs■net/download/download■php
p://91■212■198■116/lib/update■php
p://www■hoje-noticias■pagebr■com/downloads/plug2■txt
p://www■hoje-noticias■pagebr■com/downloads/wiskyx■exe
p://www■hoje-noticias■pagebr■com/downloads/winsex2■txt
p://www■hoje-noticias■pagebr■com/downloads/winsex2■exe
p://vikd3jj-2■com/2/index■php
p://vikd3jj-2■com/2/update■exe

>>157 , >>162
各社一通り提出完了

未提出：Norman,Zoner

一部未提出：トレンドマイクロ
　>>162の p://red-exe■com/onlinemovies■[40000-40100]■exe のみが入ったファイルが
　500エラーで弾かれるのでそこだけ未提出。VTでは未検出の筈なんだけど、検出済みファイルのみの
　時と同じエラーで提出不可？

　これは時間を置いてから再提出を試み、ダメなら対応済みなのだと思って納得することにします。

AntiVir9 検出結果

>>157 (4+2/6)
tane0446/aspk1dldr.exe : SPR/Dldr.J program
tane0446/msvideo2_1.js : HEUR/HTML.Malware suspicious code
tane0446/msvideo2_2.js : HEUR/HTML.Malware suspicious code
tane0446/pcker1.exe : TR/Crypt.ZPACK.Gen Trojan
tane0446/trj2.exe : TR/Spy.Gen Trojan
tane0446/trj2_1.exe : TR/Spy.Gen Trojan

>>162
91.212.198.116/load.exe : - Not Detected -
arplgm.cn/a.exe : TR/Downloader.Gen Trojan
imagehut3.cn/evilItTheir.pdf : HTML/Shellcode.Gen HTML script virus
imagehut3.cn/load.exe : - Not Detected -
missing-codecs.net/install_flash_player.exe : - Not Detected -
red-exe.com/onlinemovies.[40000-40018].exe : - Not Detected -
red-exe.com/onlinemovies.40019.exe : TR/Crypt.ZPACK.Gen Trojan
red-exe.com/onlinemovies.[40020-40100].exe : - Not Detected -
upload.octopus-multimedia.be/pdrv.exe : - Not Detected -
upload.octopus-multimedia.be/pp.10.exe : - Not Detected -
vikd3jj-2.com/index.php : - Not Detected -
vikd3jj-2.com/update.exe : - Not Detected -
youtube-adult.name/index.htm.exe : TR/Dropper.Gen Trojan
youtube-adult.name/Mediacodec.exe : TR/Dropper.Gen Trojan
youtube-adult.name/setup(1).exe : TR/Dropper.Gen Trojan
youtube-adult.name/setup.exe : TR/Dropper.Gen Trojan
youtube-adult.name/VideoCodec.exe : TR/Dropper.Gen Trojan

>>162 �d tane0447
カスペ2010 16:15
113/116・提出します。

(1) red-exe.com 101/101
Trojan.Win32.FraudPack.pjl 　　red-exe.com/onlinemovies.[40000-40100].exe (ただし、40019.exe除く） (100files)
Trojan-Downloader.Win32.Small.jvl 　　red-exe.com/onlinemovies.40019.exe

(2) youtube-adult.nameフォルダ 5/5
Trojan-Downloader.Win32.CodecPack.ilv 　　/index.htm.exe
Trojan-Downloader.Win32.FraudLoad.exm 　　/Mediacodec.exe　　/setup(1).exe　　/setup.exe 　　/VideoCodec.exe

(3) 残 7/10
Trojan-Dropper.Win32.Agent.avow 　　91.212.198.116/load.exe　　(1/1)
Trojan-Downloader.Win32.Tiny.cew 　　arplgm.cn/a.exe　　(1/1)
virus HEUR:Exploit.Script.Generic 　　imagehut3.cn/evilItTheir.pdf　　(2/2)
Trojan.Win32.VB.smd 　　imagehut3.cn/load.exe
Trojan.Win32.Small.can 　　upload*/pp.10.exe　　(1/2, pdrv.exe スルー)
Trojan.Win32.Inject.afqp 　　vikd3jj-2.com/update.exe　　(1/2, index.php スルー)
Trojan-Downloader.Win32.Injecter.dd　　youtube-adult.name/index.htm.exe 　　(1/1)
※missing*\install_flash_net.exe スルー

返事
>>157(>>159,161) tane0446
3+2=5/6、白1で閉鎖
trj2_1.exe_ - Trojan.Win32.BHO.vnh

気になる人は提出する方向で

ttp://foobar2000.xrea.jp/up/files/up365.zip　　（PWロックは掛かってない）
http://www.virustotal.com/jp/analisis/7bfb8c778298384463d649177a882768c81f550d213099037e97267052edc37e-1247218479

>>166 乙です。
AVIRAに提出してみたら、判定済みで FALSE POSITIVE（誤検出）とのことです。
つまり、黒→白という扱いになっています。　一応、参考として。

# 出張先だと、AVIRAの提出用鯖にファイルをアップする以外、できる事がほとんど無い。

とあるexploitをMcAfeeに送った時のインドのラボからの返信。

Why do you suspect this of being the culprit of malicious behavior?
Has any AV product detected it?
What engine/dat number are you using?
Have you noted any suspicious behavior on a system where this file has been run?
If so, what?

ちょ…ちょっと怒ってる(;^ω^)?

なんで送ってきた？
なんかで検知したのか？
てかなにつかってるんだ？
なんか変な挙動でもあったのか？
だとすればなに？

これはひどい。忙しいのかな

>>162(>>165) tane0447
113+1=114/116、残2
Hello,

(missings-codec.net)\install_flash_player.exe_ - Trojan.Win32.VB.soj

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

>>168-170
これはアナリスト怒ってるねぇ。　検出できるもの・できないものを分別しないで大量に送りつけたとか？

どこのベンダーも忙しいみたいだから、検出できるものまで送りつけられたら、そりゃアナリストは不愉快だと
思うので、それ以外思いつかないが．．．

私の方だと、AVIRAとKasperskyにかなり送っているが、検出可能ファイルは排除してから送ってるせいか
それともベンダーの性格の違いか、そういう苦情っぽいメールは受けたこと無いけど。　といっても、AVIRAは
メール提出してない（提出用鯖にアップしているだけ)だから、自動応答メール以外来ないけどね。

>>152　雑談ついで。
Kasperskyは、とりあえずヒューリスティックが隔離して、KISの隔離フォルダからQuarantine Objectで
送付されるファイルが、最優先で処理される。　経験的には、こいつは処理が異常に早い。

次が、exe単独の提出で、出所orマルウェアであることがはっきりしているファイル。
（ウイルス本体とみなされるファイル)これは、ファイルのダウンロード元（サイト名とか）をメールに
明記して送るか、VTの検出結果のurlを記入して送った場合。

それ以外は、かなりランダム。分析が早い時もあるし遅い時もある、という感じです。
私の方の状況ですが、参考になれば。

# 全部まとめて送っても隔離ファイルなみに処理が早いことがあるので、前の2つ以外は、正直、
　 どういう順番なのか全く読めないですね。ただ、自分の提出状況と処理結果を見ていると、
　 提出者が誰かor過去に大量の提出をしているか、は全く関係なさそう。

カスペからの返事＆カスペ 11:24

>>162(>>165,171) tane0447
113+(1+1)=115/116、残1 (index.php)

Exploit.JS.Pdfka.ni　　-　　imagehut3.cn/evilItTheir.pdf 　　（←virus HEUR:Exploit.Script.Generic）(返答）
Trojan.Win32.Agent2.kvz 　　-　　/upload.octopus-multimedia.be/pdrv.exe (検知）

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=448
virus
いやー1ファイルだけだったんだけどねぇ。
物はmilw0rmに載っていて消えた物(SANS-ISCにあるとおりmilw0rmが今ちょっと不調)で、
載せたのは確かHP(ヒューレットパッカード)の中の人。
同梱の画像はアップローダの下限(1kB)回避用のダミーなので無視で。

>>174
ttp://www.virustotal.com/jp/analisis/bbc704f396d92fd613d9e14598ac9fee8d044296a5fad439369a45f29b09b420-1247292829 (1/41)

AVIRAに提出しました。

１ファイルで、普通ああいうメールは返ってこないと思うが．．．提出したExploitファイルの中に、McAfeeの悪口が書かれてたとか？(w

>>175
AVIRA返答
　addfav_crash1.htm - CLEAN（白）

>>175
いや見てのとおり大したファイルじゃないのよ。
IEが落ちる以外は実害のないコンセプトコードなので実行してみそ。
送ったメールの文も「Exploit.IEAddFavorite」の一言だし。
とりあえずイシューNo.とアナリストの名前を書いて
ラボとカスタマーサービスに以下を送信(;^ω^)。

WHATS THIS FCKN ATTITUDE ?
McAfee employs plug-ugly ?

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=449
infected

VirusTotal(7/41)
ttp://www.virustotal.com/jp/analisis/3a1562e28f91e8a5601fcec4b11e20114d19b05c2717a208284018edf6dd7550-1247302501

>>178
Symantec、Panda、GDATA2010（今回はBitDefenderのみ）に提出完了

今回はESETにも提出

>>178
McAfee (Active Protection 無効)0/1
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
banner |inconclusive | | |no

>>178 tane0449
カスペ 19:56
スルー
検体提出します。

初スレからのタレコミです
マルウェア配布サイトlapcie.com/
11アーカイブ
Symantecとa-squaredとMalwarebytesとMicrosoftとAVGに提出済みです
みなさんもよろしく

>>182
それ、誤検出の疑いって奴だろ。VTでチェックして、検出してるとこにだけ出せばいいことかと。
どのアーカイブのなんていうファイルに反応しているのかの報告がないので、現時点では提出をスルー。

2chの誤検出の疑いなんて信用しないで
自分で調べりゃすぐ分かるだろ

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=451
infected

■ 検体入手元
Malware Domain List の更新情報 7/11分、リネージュ資料室の更新情報 7/12分 より

■ 既提出先
AntiVir AntiyLabs のみ。今日は時間が無いので、他への提出はやってません。

>>185
Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了
Symantecへは提出するのにちょっと時間がかかりそうなのでまだ提出してない、代わりにやってくれる人がいるならお願いします

>>185-186
Symantecとa-squaredとMalwarebytesに提出しました

カスペ2010 14:47
>>185 tane0451
23/37

(1) skywebsv.comフォルダ 8/11 (Darkst.html, MS08011.htm, MS08053.htm スルー)
virus HEUR:Exploit.Script.Generic 　　　/Blog.htm　　　/MsAccess.htm　　　/web(1).htm　　　/web.htm
virus HEUR:Trojan.Win32.Invader 　　　/cer.exe
Exploit.JS.DirektShow.a 　　　/darkst.png
Trojan-Downloader.VBS.Agent.io 　　　/Ms06014.htm
Exploit.JS.RealPlr.ob 　　　/Real.htm

(2)teamerblogフォルダ 9/12 (3files スルー、同上)
virus HEUR:Exploit.Script.Generic 　　　/blog.htm　　　/fc2.htm 　　　/FFXI-search.htm　　　/MsAccess.htm　　　 /play.htm
Trojan.Win32.Inject.afyg 　　　/cer.exe
Exploit.JS.DirektShow.a 　　　/darkst.png
Trojan-Downloader.VBS.Agent.io 　　　/Ms06014.htm
Exploit.JS.RealPlr.ob 　　　/Real.htm

(3) upload.octopusフォルダ 3/4 (gen.phpスルー)
Trojan-Dropper.Win32.BHO.bo 　　　/6244.exe
Trojan.Win32.Agent2.kwh 　　　/fb.49.exe
Trojan.Win32.Agent2.jyw 　　　/nfr.exe

(4)その他 3/10
Trojan-Downloader.JS.Agent.ehl 　　　/benpao2020.com/go.jpg (1/5, 360.htm, a1a.htm, go1.jpg, t.js スルー)
Trojan-Spy.Win32.Ayludle.a 　　　/esli.tw/load.exe (1/2 　　　Russia_attacks.pdfスルー)
virus not-a-virus:FraudTool.Win32.Agent.tj 　　　/secure-safe-download.com/wsetup.exe (1/1)
antivirus*フォルダ 0/2 (anti*.htm, Setup-15815*.exe スルー)

>>185
McAfee (Active Protection 無効)14/37
未検出分をMcAfeeに提出させて頂きました。
※ヒューリスティックoff→17/37
ヒューリスティックを無効にすると検出数が増えたorz

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
360.htm |inconclusive | | |no
a1a.htm |inconclusive | | |no
antiviruspcscannerv7|inconclusive | | |no
blog.htm |inconclusive | | |no
darkst.htm |inconclusive | | |no
darkst.htm |inconclusive | | |no
fb.49.exe |new detection |w32/koobface.worm.gen.h |Virus |yes
gen.php |inconclusive | | |no
go.jpg |heuristic detection |beav-shellcode |Application |no
go1.jpg |inconclusive | | |no

load.exe |inconclusive | | |no
ms06014.htm |heuristic detection |vbs/psyme.gen.a |Trojan |no
ms08011.htm |inconclusive | | |no
ms08011.htm |inconclusive | | |no
ms08053.htm |inconclusive | | |no
ms08053.htm |inconclusive | | |no
real.htm |heuristic detection |beav-shellcode |Application |no
russia_attacks.pdf |inconclusive | | |no
setup-15815_02002-8.|inconclusive | | |no
t.js |inconclusive | | |no
web(1).htm |inconclusive | | |no
web.htm |inconclusive | | |no
wsetup.exe |inconclusive | | |no

>>154 tane0445
0+1=1/1で閉鎖
Setup-4e45_02022.exe_ 　　-　　 Trojan-Downloader.Win32.FraudLoad.eyu


>>178 tane0449
0+1=1/1で閉鎖
banner　　-　　Exploit.Win32.Pidief.bee


>>185 tane0451
23+2=25/37（うちHEUR9)、残12

esli.tw\Russia_attacks.pdf_ - Exploit.Win32.Pidief.bef
wwwskywebsv.com\cer.exe_　　- 　　Trojan-GameThief.Win32.OnLineGames.bmlr (←HEUR:Trojan.Win32.Invader)
antiviruspcscannerv7.com\Setup-15815_02002-8.exe - Trojan.Win32.FraudPack.plk

New malicious software was found in this file.

すまん。カスペからの返事です。
>>185(>>188,191)

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=452
　DL virus／解凍 virus

【中身】　９個入っています。MDLの2009/07/13分から。（7/13の全部ではない)
a222.dnf5.com
　1.exe - ttp://www.virustotal.com/jp/analisis/def373fa293f18e0063ca3a04eee65a9136ca9832a9e256c17248a63b1e600af-1247540294 (15/41)
a444.dnf5.com
　of.js - ttp://www.virustotal.com/jp/analisis/f9f508ff0dfe598ab095dc67978d259127efde4014c377b0dd313e37948b292b-1247537078 (8/41)
krisnet.cn
　mss8.exe - ttp://www.virustotal.com/jp/analisis/514a5b90e717557b021dc3db33db42306dc98d40244fc5d6ae8bbe35bf85d3f9-1247539585 (12/41)
puppsik.biz
　mainokK.exe - ttp://www.virustotal.com/jp/analisis/1fe41137eacfc78a731628bfb77cb9e32453905fbf19e8bd89cbdbe713d37b4c-1247536858 (10/41)
wesssrett.cn
　theirTextLayout.pdf - ttp://www.virustotal.com/jp/analisis/c5380b012d966bfc90a51be69437ec6e53611063f959d2131e030de70fc1f75a-1247540745 (23/41)
　index.php - ttp://www.virustotal.com/jp/analisis/357689954fc1ff942934df1ea7dee36d173fb80c4b857d2145b65b8ce0d55724-1247541306 (8/41)
　typeSBc.swf - ttp://www.virustotal.com/jp/analisis/17301efa9654fedabb8d8110ec7af9b2b286818d2d9b24189d6c49d4f2ad4d0b-1247541456 (17/41)
　update.exe - ttp://www.virustotal.com/jp/analisis/dc118a1cf32b0d2a69d1629318f7072d0fb4d915c50372b534c892223d5fde45-1247541787 (34/41)
www.fdsdffdfsf.cn
　of.htm - ttp://www.virustotal.com/jp/analisis/81f68ee265dc06e64e9d95b100d549a0e922529d1b778b939c1e305b0711d0de-1247538643 (4/41)

a444.dnf5.comとwww.fdsdffdfsf.cnが、OfficeWebへの0-day攻撃．．．らしい。
一部検出率の高いものが入っていますが、出張中で自分の使用環境が整ってないので、すみませんが全部パックしました。m(_ _)m

>>193
AVIRA9 7.01.04.228　黒６／９，未検出の３個は提出済み。

a222.dnf5.com
　　1.exe - TR/Rootkit.Gen
a444.dnf5.com
　　of.js - HTML/Shellcode.Gen
krisnet.cn　
　　mss8.exe -
puppsik.biz
　　mainokK.exe - WORM/Emold.U.8
wesssrett.cn
　　theirTextLayout.pdf - HTML/Shellcode.Gen
　　index.php -
　　typeSBc.swf - SWF/Drop.Small.LP
　　update.exe - TR/BurnInHell.L
www.fdsdffdfsf.cn
　　of.htm -

AVIRA入りの仮想PCしか作業環境が無いので、他ベンダーのチェック・提出は他の人にお任せします。

>>193
fdsなんちゃらのOfficeWebComponentのゼロデイ、
スクリプトが分割されていてof.htm単品だと攻撃が成立しない
ので(a.jsがシェルコード)くっつけときました。
ttp://tane.sakuratan.com/upload/src/tane0453.zip
virus

>>193
>>195
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

>>195
ありがトン。分割されていたのに気がつかんかった...orz
　ttp://www.virustotal.com/jp/analisis/8ac1984a7fa9e53becaa2de016aeef82bbe1f5fe51d839d6ef7ea0c990dd9440-1247548149 (7/41)

a.js単独，a.js込みの>195だと検出しますが、念のためof.htm + a.jsをzipで圧縮して、AVIRAに再提出しておきました。

※ 一応書いておくと、AVIRAの検体提出鯖は、パス無しzipであれば自動で解凍して、個別の検体として受け取ってくれます。
　　（zipファイル＝検体ではなく、中身を個別に判定してくれます。）　ただ、中身の数が多くなると拒否されます。
　　いくつまで平気なのかは、試してないので不明。

# 数が多すぎる場合の拒否メッセージが“ KO ”という所（鯖がKOされた、という意味だと思う）が、ユーモアがあって面白い．．．

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=454
virus
同じOfficeWebComponentsの奴です。
こちらはシェルコードが小さいため最初から1ファイルでした。

あっごめん、今見たら453にDLKey設定してなかった。

>>198
Pandaへ提出完了、他のいつも送ってるベンダー（Symantec、avast!、BitDefender）は検出してるので今回は提出なし

ttp://www.virustotal.com/analisis/72aa5318df14f62434dd546a78be82cc38fdd71b9f5199c2f63296c95603efbc-1247558498
ttp://www.virustotal.com/analisis/72aa5318df14f62434dd546a78be82cc38fdd71b9f5199c2f63296c95603efbc-1247558500

>>198
AVIRA9 7.01.04.229　黒2/2
　owc2.htm - HTML/Silly.Gen
　owc2.js - HTML/Silly.Gen

検出できるので提出無し。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=455
　DL virus／解凍 virus

【中身】　10個入っています。MDLの2009/07/13分から。
ferarilatka.cn
　index.php - ttp://www.virustotal.com/jp/analisis/435fd78dc15360b728ec9cad49bed7595fafb728dbbba677491051eb0d6144f0-1247555796 (5/41)
　koxyebuth.pdf - ttp://www.virustotal.com/jp/analisis/3fd8635e72ee0475cc46677c3e21ac48a14c8d141906c912e1fc020c6e647cb5-1247555916 (11/41)
　xyachuch.swf - ttp://www.virustotal.com/jp/analisis/43cc6f7cdac810658b8d0aa960b6ce721eeba2cc28eff2bec47a739ba0eb80b6-1247556094 (7/41)
thetests.net
　index.php - ttp://www.virustotal.com/jp/analisis/a0f027cdd19ba22a2c3bf5c6bdfb95b771d995cd8a6bef46bb3f84246d71e5cf-1247557252 (4/41)
　index.htm - ttp://www.virustotal.com/jp/analisis/2440ba7e982ce64088f0cf71d00944fb54e43dd86d20b755586469384d65cd47-1247558937 (4/41)
　file.exe - ttp://www.virustotal.com/jp/analisis/80f0b51b1153675c5a111db83d1a409c3730a67f73273368197a35440fdfc7f6-1247559149 (1/41)
　e50i.pdf - ttp://www.virustotal.com/jp/analisis/b8ab18f2f9aba3e14fa83daf46f93534c33562521f91d5a3602b42aa5d231057-1247559485 (5/41)
bezopbizn.ru
　index.php - ttp://www.virustotal.com/jp/analisis/a7b2a0c365a7c8c252f8524e5d98de42110cadda6d5377a30935c18b37b6a019-1247560485 (2/41)
　pdf.pdf - ttp://www.virustotal.com/jp/analisis/d99f743ca2ead0c030604adec49ed5b8c3b06b571468d426c199234334c869a5-1247560715 (8/41)
　getexe.exe - ttp://www.virustotal.com/jp/analisis/357a0ba3ef66843d5cb8ff4e6098aa57f380888d710827b6d99a5d30fe222cbc-1247560865 (22/41)

>>202
AVIRA9 7.01.04.229　黒 3，黒確定（VDF update待ち) 1，解析中 6

ferarilatka.cn
　　index.php - (UNDER ANALYSIS)
　　koxyebuth.pdf - HTML/Shellcode.Gen
　　xyachuch.swf - (UNDER ANALYSIS)
thetests.net
　　index.php - (UNDER ANALYSIS)
　　index.htm - (UNDER ANALYSIS)
　　file.exe - (TR/Dldr.Agent.duc) - VDF next update
　　e50i.pdf - EXP/Pidief.WH
bezopbizn.ru
　　index.php - (UNDER ANALYSIS)
　　pdf.pdf - (UNDER ANALYSIS)
　　getexe.exe - Worm/Bezopi.A

>>194
AVIRA返答

krisnet.cn　
　　mss8.exe - TR/Malex.121856E
wesssrett.cn
　　index.php - JS/IFrame.dpr
www.fdsdffdfsf.cn
　　of.htm - CLEAN（白）

黒2，白1でclose.　分割されてて、攻撃コードを含まない方は白になりました。
（zipでまとめて送った方も同じ結果でした。)

>>193
McAfee (Active Protection 無効)4/9
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
1.exe |new detection |generic downloader.x!ji |Trojan |yes
index.php |current detection |obfuscated script.h |Trojan |no
mainokk.exe |inconclusive | | |no
mss8.exe |inconclusive | | |no
of.htm |new detection |exploit-cve2009-1136 |Trojan |yes
of.js |heuristic detection |beav-shellcode |Application |no
theirtextlayout.pdf |current detection |exploit-pdf.b.gen |Trojan |no
typesbc.swf |current detection |exploit-cve2007-0071 |Trojan |no
update.exe |current detection |generic downloader.z |Trojan |no

>>195
McAfee (Active Protection 無効)0/2
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
owc1.htm |heuristic detection |beav-shellcode |Application |no
owc1.js |heuristic detection |beav-shellcode |Application |no

>>202
McAfee (Active Protection 無効)2/10
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
e50i.pdf |inconclusive | | |no
file.exe |inconclusive | | |no
getexe.exe |current detection |generic.dx!ys |Trojan |no
index.htm |inconclusive | | |no
index.php |inconclusive | | |no
index.php |inconclusive | | |no
index.php |current detection |obfuscated script.h |Trojan |no
koxyebuth.pdf |inconclusive | | |no
pdf.pdf |inconclusive | | |no
xyachuch.swf |inconclusive | | |no

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=456
　DL virus／解凍 virus

MDLの2009/07/13で確保できた分の残り15個。exeとpdfばっかりです。

今、VirusTotalがパンクしているので、この15個についてはインフォメーションがありません。
また、もしかしたら古いものとかも入っているかもしれません。m(_ _)m

AVIRA 7.01.04.231　黒11/15。
　analitics.in\load.exe - TR/Crypt.ZPACK.Gen
　axevoq.cn\installer_1.exe - TR/ATRAPS.Gen
　ircleaner.com\install.exe - TR/Dropper.Gen
　onuka.cn\mal.exe - TR/Dropper.Gen Trojan
　securitytrial.com\install.exe - TR/Dropper.Gen
　updatedate.cn\255.pdf - DR/Pdfka.NL.1
　updatedate.cn\464.pdf - DR/Pdfka.NL
　webalfa.cn\load.exe - TR/Crypt.ULPM.Gen
　webalfa.cn\spl.pdf - EXP/Pidief.WH
　www.tech2tech.cn\load.exe - TR/FraudPack.pjs
　www.tech2tech.cn\pdf.pdf - JS/Dldr.Small.CR.2

未検出
　download.anti-virus-best.info\PreInstaller.exe
　testtubefilms.com\onlinemovies.48022.exe
　updatedate.cn\installb.exe
　yourtubetop.com\onlinemovies.45095.exe
　
未検出分はAVIRAに提出済みです。

検体提出の方�d

カスペ2010 19:11

>>193 tane0452
4/9
virus HEUR:Trojan.Win32.Generic 　　　/krisnet.cn/mss8.exe
virus Worm.Win32.Bezopi.b 　　　/puppsik.biz/mainokK.exe
Exploit.Win32.Pidief.bby 　　　/wesssrett.cn/theirTextLayout.pdf
Trojan-Downloader.Win32.Small.jwo 　　　/wesssrett.cn/update.exe

>>195 tane0453
2/2
virus HEUR:Exploit.Script.Generic　　　owc1.htm、　　　owl1.js


>>197 tane0454
0/2 スルー


>>199 tane0455
2/10
virus Worm.Win32.Bezopi.a　　　tane0455.zip/bezopbizn.ru/getexe.exe
virus HEUR:Trojan-Downloader.Script.Generic　　　/ferarilatka.cn/index.php

検体提出します。
VTがoverloadになっている。orz

>>202
>>208
Symantec、Panda、GDATA2010(=avast!＆BitDefender）へ提出完了

>>208
Symantecから自動返答

filename: install.exe
machine: Machine
result: This file is detected as AntiVirus2008.

filename: onlinemovies.45095.exe
machine: Machine
result: See the developer notes

filename: load.exe
machine: Machine
result: See the developer notes

filename: spl.pdf
machine: Machine
result: See the developer notes


書ききれないので続き

>>208

>>211からの続き

filename: installb.exe
machine: Machine
result: See the developer notes

filename: install.exe
machine: Machine
result: This file is detected as AntiVirus2008.

filename: installer_1.exe
machine: Machine
result: See the developer notes

filename: PreInstaller.exe
machine: Machine
result: See the developer notes

filename: onlinemovies.48022.exe
machine: Machine
result: See the developer notes

ｽﾏｿ>>211と>>212見てなんかおかしいなと思ったら提出した検体が被ってたようだorz（圧縮ファイルを二つにわけて送ったらから恐らく選別ミス）

filename: install.exe
machine: Machine
result: This file is detected as AntiVirus2008.

結局検出確定はこれ一つだけか・・・

>>208
McAfee (Active Protection 無効)6/15
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
load.exe |inconclusive | | |no
installer_1.exe |inconclusive | | |no
preinstaller.exe |inconclusive | | |no
255.pdf |inconclusive | | |no
464.pdf |inconclusive | | |no
installb.exe |inconclusive | | |no
load.exe |inconclusive | | |no
spl.pdf |inconclusive | | |no
load.exe |new detection |fakealert-es |Trojan |yes

>>208 �d
カスペ2010 23:09
10/15

Trojan-Dropper.Win32.Microjoin.gtm 　　　analitics.in/load.exe
virus HEUR:Trojan.Win32.Generic 　　　axevoq.cn/installer_1.exe
Trojan program Trojan.Win32.Agent.clls 　　　onuka.cn/mal.exe
Exploit.JS.Pdfka.nl 　　　updatedate.cn/464.pdf
Exploit.JS.Pdfka.nl 　　　updatedate.cn/255.pdf
Trojan-Downloader.Win32.FraudLoad.eza 　　　testtubefilms.com/onlinemovies.48022.exe
Trojan-Spy.Win32.Goldun.cbr 　　　webalfa.cn/load.exe
Trojan-Downloader.Win32.FraudLoad.eza 　　　yourtubetop.com/onlinemovies.45095.exe
Exploit.HTML.IframeBof 　　　www.tech2tech.cn/pdf.pdf
Trojan.Win32.FraudPack.pjs 　　　www.tech2tech.cn/load.exe

私が手一杯なので、できれば、代理提出お願いします。

カスペからの返事

>>195 (>>209) tane0453
2/2
owc1.htm_ - Trojan-Downloader.JS.ShellCode.g (←HEUR:Exploit.Script.Generic)

>>198(>>209) tane0454
0+2=2/2で閉鎖
owc2.htm、　　owc2.js_ _ - Exploit.JS.ActiveX.ae (返事）

>>202(>>209) tane0455
2+1=3/10、残7
ferarilatka.cn\koxyebuth.pdf - Exploit.Win32.Pidief.bej (返事）


>>193(>>209) tane0452
a222.dnf5.com\1.exe は、KSN検知、KIS2010では危険なオブジェクトとして検知してアクセスをブロック。シグネチャ作成待ち。

.
前スレ705>>34(>>62,74) tane0416
5+2＝7/57,.白50でクローズ
index22.php、index22[1-44].php (45files) - No malicious code were found in these files

昔大量に出したせいで、今頃渋滞しているのかな。orz

ここまでSymantecとa-squaredとMalwarebytesに提出しました

カスペからの返事＆カスペ2010 8:09

>>208（>>215) tane0456
10/15
Detected Trojan-Downloader.Win32.FraudLoad.wfxs 　　axevoq.cn\installer_1.exe　（←HEUR:Trojan.Win32.Generic) （検知）

>>202(>>209,216) tane0455
2+1=3/10、残7のまま
ferarilatka.cn \ index.php - Trojan.HTML.IFrame.ao （←HEUR:Trojan-Downloader.Script.Generic） (返答)

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=457
virus
milw0rmよりFirefox3.5のPoC。

カスペ2010 9:20
>>219 �d tane0457
1/1
virus HEUR:Exploit.Script.Generic 　　tane0457.zip/fx35bof1.htm
検体提出します。


カスペからの返事と検知

>>208（>>215,218) tane0456
先ほど提出
10+4=14/15,残1 (sectrial \ install.exe. )

ircleaner.com \ install.exe_　　 -　　 Trojan-Dropper.Win32.FrauDrop.fd (返事）
webalfa.cn \ spl.pdf　　 -　　 Exploit.Win32.Pidief.bem （返事）
updatedate.cn \ installb.exe 　　-　 　 Trojan-Dropper.Win32.Mudrop.bsx （検知)
download.anti-virus-best.info \ PreInstaller.exe_ - not-a-virus:FraudTool.Win32.Agent.tl (返事）

>>193 tane0452
4+1=5/9、残4 (a222 \ 1.exe a444.\ of.js , wesss \ typeSBc,swf, index.php)
Trojan program Exploit.JS.Sheat.a　　 -　　tane0452\www.fdsdffdfsf.cn\of.htm (返事）

カスペからの返事

>>219 (>>220) tane0457 1/1で閉鎖
tane0457\fx35bof1.htm　　-　　Trojan program Exploit.JS.FoxFir.a （←HEUR:Exploit.Script.Generic）

>>208（>>215,218,220) tane0456
10+（4+1）=15/15で閉鎖
securitytrial \ install.exe_ - Trojan-Dropper.Win32.FrauDrop.fd

>>185(>>188,191) tane0451
25/37、白1、残11
benpao2020.com\go1.jpg - 白

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=458
infected

検体入手元
Malware Domain List 7/14分＋リネージュ資料室更新分

各社一通り提出済み（NormanとZonerはパス）

>>219
AVIRA 7.01.04.234　黒1/1
　fx35bof1.htm - HTML/Silly.Gen

>>208
AVIRA返答
　download.anti-virus-best.info\PreInstaller.exe - DR/FraudLoad.wfh
　testtubefilms.com\onlinemovies.48022.exe - TR/Dldr.FraudLoad.EZA.13
　updatedate.cn\installb.exe - TR/Crypt.ZPACK.Genで検出できるようにする
　yourtubetop.com\onlinemovies.45095.exe - TR/Dldr.FraudLoad.EZA.14

黒11+事後4＝黒15/15でclose

>>219
McAfee (Active Protection 無効)0/1
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
fx35bof1.htm |new detection |js/exploit-bo.gen |Trojan |yes

カスペにて提出して報告していたいたものですが、システム組み換えのため、しばらくtane0458以降の検体の提出
・報告は当面できません。
自作にて相性がトラブると復帰に時間がかかるかもしれません。

さすがに家族のＰＣで検体をＤＬするのは危ないので。ｗ
カスペユーザーの方に、代理提出、報告していただけると助かります。

なお、tane0457までの検知メールが到着すれば、報告します。

代替機ほしいなぁ。

>>222
AVIRA 7.01.04.237　黒29/48（未検出19）

221.1.204.243
　　help.exe - TR/Dropper.Gen
Koobface
　　setup.exe - TR/Downloader.Gen
picnews.bij.pl
　　tubeplayer.exe - TR/Hijacker.Gen
sexfreetube.net
　　free_stream_video.exe - TR/Dropper.Gen
sucupdate.com
　　install(1).exe - TR/Dropper.Gen
　　install.exe - TR/Dropper.Gen
www.hotgome.net
　　1.exe - DR/PcClient.Gen
　　GV11.html - JS/Dldr.Agent.2139
　　GV122121.htm - JS/Dldr.Agent.ZM
　　GV22.html - JS/Agent.afp
　　GVbf.htm - HTML/Shellcode.Gen
　　GVcx.htm - HTML/Rce.Gen
　　GVfl.htm - TR/HTML.Agent.Q.1
　　GVgg.htm - HTML/Shellcode.Gen
　　GVxxz.htm - JS/Dldr.Small.CR.2
　　www.hotgome.net.htm - JS/Dldr.IFrame.1618
　　www.okireng.com.htm - JS/Dldr.IFrame.1618

>226 続き
www.hotgome.net\swf
　　GG115.swf - EXP/Flash.Gen
　　GG16.swf - EXP/Flash.Gen
　　GG28.swf - EXP/Flash.Gen
　　GG45.swf - EXP/Flash.Gen
　　GG47.swf - EXP/Flash.Gen
　　GG64.swf - EXP/Flash.Gen
　　VV115.swf - SWF/Dldr.Agent.F.1
　　VV16.swf - SWF/Dldr.Agent.F.1
　　VV28.swf - SWF/Dldr.Agent.F.1
　　VV45.swf - SWF/Dldr.Agent.F.1
　　VV47.swf - SWF/Dldr.Agent.F.1
　　VV64.swf - SWF/Dldr.Agent.F.1

>226　更に続き・AVIRA未検出分

Koobface
　　116.48.213.122.htm
　　65.68.100.172.htm
　　69.153.57.227.htm
　　69.155.133.21.htm
　　71.249.178.74.htm
　　77991db0140a4f7cbca6f9f3dba52f9c.htm
　　k-lgbg0kiiiq.js
picnews.bij.pl
　　video.htm
Win32Frethog!RAR
　　cc.rar
　　cc1.rar
　　ff.rar
　　ff1.rar
　　help(1).rar
　　help.rar
　　help1.rar
　　ll.rar
　　uu.rar
　　uu1.rar
www.hotgome.net
　　GV14.htm

提出して頂いているようなので、様子見（私の方からは未提出）

ここまでSymantecとa-squaredとMalwarebytesに提出しました

>>222
カスペ回答
<略>
These files are already detected.

116.48.213.122.htm_, GVcx.htm_, GVfl.htm_, video.htm_
No malicious code were found in these files.

install(1).exe_ - not-a-virus:FraudTool.Win32.SystemSecurity.pc,
install.exe_ - not-a-virus:FraudTool.Win32.SystemSecurity.pb
New potentially risk software was found

k-lgbg0kiiiq.js_ - Trojan-Downloader.JS.Agent.ehp
New malicious software was found

>>203
AVIRA返答 書き忘れ分。

ferarilatka.cn
　　index.php - HTML/Agent.mldl.6
　　xyachuch.swf - CLEAN(白)
thetests.net
　　index.php - JS/Dldr.Agent.aas
　　index.htm - JS/Dldr.Agent.aaq
bezopbizn.ru
　　index.php - JS/Dldr.Agent.pag
　　pdf.pdf - EXP/Pidief.KL

黒（３＋１）＋新種５＝９／１０，白１でclose.

中国産おなじみゲームパス系1ファイルです
http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=459
infected

入手元
www●coconlovely●com/wmv.jar

結果: 24/41 (58.54%)
http://www.virustotal.com/jp/analisis/e763dd9b23328d74a0ab6070723aa12a85526ba6b551e0dfc1379ede5fe022df-1247723770

>>232
Symantec、Pandaへ提出完了

>>232
Symantecから自動返答

filename: wmv.jar
machine: Machine
result: See the developer notes

filename: wmv.scr
machine: Machine
result: See the developer notes

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=460
ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=461
　DL virus／解凍 virus

tane0460の方は、ttp://www■bnret■com/web.exe です。
　ttp://www.virustotal.com/jp/analisis/48bf0404fb5150210bffcb3cadedbf73b6ffdfcf9b495e22ad03219a3c35660c-1247797010 (19/41)

AVIRAには提出済みです。gnomeさんやFFXIさんの所の情報では、
　ttp://www.virustotal.com/analisis/055757dfc4ffd9a3bc1a53fe965881dfb56268bfc7833968a1b26675376dda0a-1247733262
　→ VT最後 ttp://www.virustotal.com/analisis/055757dfc4ffd9a3bc1a53fe965881dfb56268bfc7833968a1b26675376dda0a-1247788149
だったらしいので、他ベンダーの検出名が同じなのに、ハッシュが変わってAVIRAが未検出に戻ったということは、
どうも中身が入れ替わったっぽい。

-----
tane461の方は、元になっている ttp://www■msrmn■com/のサイト一式。
スクリプトが細かく分割されているので、多分これを丸ごと提出しないと、受け取った方は意味不明だと思う．．．

こっちもAVIRAには提出済み。ちなみに、vcr.htmを結合してVTにかけるとこんな感じ。
　ttp://www.virustotal.com/jp/analisis/9c753afaed09cb8bd5f1ce15a52a7beb1422efbdb1fae5618ef3c045b2861cd2-1247797647 (7/41)

>>235
tane0460
McAfee (Active Protection 無効)0/1
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
web.exe |new detection |generic downloader.x!jr |Trojan |yes

>>235
tane0461
McAfee (Active Protection 無効)0/16
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
14.js |inconclusive | | |no
15.js |inconclusive | | |no
16.js |inconclusive | | |no
index.htm |inconclusive | | |no
index.html |inconclusive | | |no
js.js |inconclusive | | |no
of.htm |inconclusive | | |no
of.js |heuristic detection |beav-shellcode |Application |no
real.js |inconclusive | | |no
real1.js |inconclusive | | |no
tongji.js |inconclusive | | |no
turl.js |inconclusive | | |no
vc14.htm |inconclusive | | |no
vcfl.htm |inconclusive | | |no
vcfll.htm |inconclusive | | |no
vcr.htm |inconclusive | | |no

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=462
infected

■検体入手元
Malware Domain List 7/14分＋リネージュ資料室更新分

AntiVirにはftp経由で提出完了。他はこれから提出します。

まちがえた…

×：Malware Domain List 7/14分＋リネージュ資料室更新分
○：Malware Domain List 7/17分＋リネージュ資料室更新分

redirects to trojan
p://www■hotgome■net/
p://www■okireng■com/
p://www■okireng■com/GVmp■htm
p://www■okireng■com/GVof■htm
p://www■okireng■com/go■jpg

Trojan
p://174■133■73■90/p0519/2■0/ms■bin

pdf exploit
p://yawxowaj■cn/22/update■php?id=6
p://yawxowaj■cn/22/oldBelow■pdf

NDIS filter driver
p://antimalwareaupdateserver■com/Driver■exe

>>238
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

Symantecから自動返答

filename: GVmp.htm
machine: Machine
result: See the developer notes

filename: ms.bin
machine: Machine
result: See the developer notes

filename: Driver.exe
machine: Machine
result: This file is detected as Trojan.Dropper. http://www.symantec.com/avcenter/venc/data/trojan.dropper.html

filename: load.exe
machine: Machine
result: See the developer notes


ちなみに現在はBitDefenderTotalSecurity2010βをテスト中
かなり軽いですね

>>238
McAfee (Active Protection 無効)2/8
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
driver.exe |inconclusive | | |no
gvmp.htm |inconclusive | | |no
gvof.htm |inconclusive | | |no
load.exe |new detection |generic.dx!bcn |Trojan |yes
oldbelow.pdf |inconclusive | | |no
www.okireng.com.htm |heuristic detection |with fishy extension |Application |no

>>238
各社一通り提出完了

提出パスしたところ ＞ Norman,Zoner,Symantec（PandaとMcAfeeは報告出てたのに重複提出してしまった orz）
あとで提出する予定 ＞ AntiyLabs（今日はftp鯖閉じてるみたいなので週明けにでも）

tane453,454,455,456,457,460,461 に関しても同梱して送付完了。マイナー所各社宛、ここまで残件ない…と思う。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=463
virus

Firefox(3.5.1含む)のExploit
ttp://isc.sans.org/diary.html?storyid=6829
同梱のWMPの画像はアップローダの下限(1kB)回避用のごみなので除外で。

>>243
Symantec、Panda、GDATA2010(＝avast!＆BitDefender）へ提出完了
今回はAvira、ESET、Kaspersky、Ahnlabにも提出

>>243
McAfee (Active Protection 無効)0/2
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
fx351.htm |inconclusive | | |no
fx351.js |inconclusive | | |no

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=464
infected

■■■ 検体入手元 ■■■
Malware Domain List 7/18分＋リネージュ資料室更新分

p://www■miwcmac■com/JP/mpg■scr
p://www■wokutonoken-online■com/JP/mpg■scr
p://proantispywarescanv3■com/download■php?id=02029-5
　p://proantispywarescanv3■com/download/Setup-8d5_002029-5■exe
p://theinstalls■com/files/uprograms/dailybucks/install■48349■exe
p://theinstalls■com/files/uprograms/dailybucks/dailybucks_install■exe
p://x■b76■net/winres■exe
p://dapda■cn/setup■exe
p://installmoney■com/svchost■exe
p://download■microsoft-update-center■com:88/files/db■exe
p://v-i-e-w■net/xrun■tmp
p://212■117■174■14/installnew2■exe
p://heyjoy■cn/612■exe
p://kerchex■biz/cash■exe
p://www■dimensi0n■altervista■org/team/wlachocia■txt

AntiVirには未検出分をftp経由で提出済み。他はこれから提出します。

>>246さん乙
ここまでSymantecとa-squaredとMalwarebytesに提出しました

>>246
Panda、GDATA(＝avast!＆BitDefender）へ提出完了
今回もESET、Kaspersky、Ahnlabに提出

TrendMicroにも提出しようと思ったがエラー起こすので辞めた
誰か変わりに提出してください

>>246
各社一通り提出完了。今回も、NormanとZonerは面倒なのでパス。
AntiyLabsは今日もFTP鯖閉じてるので、数日内に送っときます。

>>249
うちも１回エラー起こしたが、（他と同時に送信してたので遅くてタイムアウト？）
もう１回やったら送信完了しました。

>246
マカフィー自動返答

File Name　 　 　 　 Findings　 　 　 　 Detection　 　 　 　 　 　 　 Type　 Extra
--------------------|-------------------|----------------------------|------|-----
612.exe　 　 　 　 |new detection　 　 |generic.dx!bde　 　 　 　 　 |Trojan|yes
dailybucks_install.e|current detection　 |fakealert-winwebsecurity.gen|Trojan|no
db.exe　 　 　 　 　 |inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
installnew2.exe　 　 |current detection　 |fakealert-winwebsecurity.gen|Trojan|no
mshost1.exe　 　 　 |inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
setup.exe　 　 　 　 |new detection　 　 |generic.dx!bde　 　 　 　 　 |Trojan|yes
wlachocia.txt　 　 |current detection　 |backdoor-cus!php　 　 　 　 |Trojan|no
xrun.tmp　 　 　 　 |inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
1199.exe　 　 　 　 |heuristic detection|generic backdoor!hv.k　 　 |Trojan|no
install.48349.exe　 |inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
mpg.scr　 　 　 　 |heuristic detection|generic backdoor!hv.k　 　 |Trojan|no
mshost.exe　 　 　 |inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
setup-8d5_002029-5.e|inconclusive　 　 |　 　 　 　 　 　 　 　 　 |　 　 |no
svchost.exe　 　 　 |current detection　 |generic.dx!baw　 　 　 　 　 |Trojan|no
winres.exe　 　 　 |current detection　 |generic.dx!zg　 　 　 　 　 |Trojan|no

>>246
McAfee (Active Protection 無効)5/15
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
612.exe |new detection |generic.dx!bde |Trojan |yes
db.exe |inconclusive | | |no
install.48349.exe |inconclusive | | |no
mshost.exe |inconclusive | | |no
mshost1.exe |inconclusive | | |no
setup-8d5_002029-5.e|inconclusive | | |no
setup.exe |new detection |generic.dx!bde |Trojan |yes
xrun.tmp |inconclusive | | |no
1199.exe |heuristic detection |generic backdoor!hv.k |Trojan |no
mpg.scr |heuristic detection |generic backdoor!hv.k |Trojan |no

>>246
トレンドマイクロ返答。但し、どのファイルに該当するかは不明。
TROJ_DROPPER.PXR
TROJ_RSTDOOR.T
TROJ_FAKEAV.BMW
TROJ_DROPPER.PXQ

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=465
infected

■検体入手元
Malware Domain List 7/19分

■検出名（複数社で補ってます…）

2006.aninite.at/test(1).txt : Backdoor:PHP/Shell.C(Microsoft) , Backdoor.PHP.ALI(BitDefender)
dunpo.wisegiga.net/id.txt : PHP:PHPInfo-A(Avast)
piffopuff.se/test.txt : Trojan:PHP/Agent.A(Microsoft) , PHP.ShellExec(Ikarus)
sunset-travel.ro/devid.txt : SPR/PHP.ID program(AntiVir)
www.hotgome.net/go.jpg : HTML/Shellcode.Gen HTML script virus(AntiVir)
www.hotgome.net/GVmp.htm : JS:MalHead-U(Avast) , Troj/Iframe-CJ(Sophos)
www.hotgome.net/GVof.htm : JS:CVE-2009-1136-A(Avast) , Exploit.JS.Sheat.a(Kaspersky)
www.hotgome.net/www.hotgome.net.htm : JS/Dldr.IFrame.1618 Java script virus(AntiVir)
www.justiciasalta.gov.ar/c99.txt : PHP/C99Shell.B PHP virus(AntiVir)

各社一通り提出済み。
その他、週末で保留になってたAntiyLabs宛も提出完了。

>>246
カスペ返答

1199.exe_,mpg.scr_ - Backdoor.Win32.PcClient.atzu,
612.exe_,setup.exe_ - Trojan-Dropper.Win32.Agent.awov,
dailybucks_install.exe_ - Trojan-Downloader.Win32.FraudLoad.whut,
db.exe_ - Trojan-Downloader.Win32.VB.phg,
install.48349.exe_ - Trojan.Win32.FraudPack.pow,
installnew2.exe_ - Trojan-Downloader.Win32.FraudLoad.whue,
mshost1.exe_,svchost.exe_ - Trojan.Win32.Tdss.ajuu,
Setup-8d5_002029-5.exe_ - Trojan-Downloader.Win32.FraudLoad.fac,
winres.exe_ - Trojan-Dropper.Win32.Agent.aven,
xrun.tmp_ - Backdoor.Win32.Bifrose.bjnb
These files are already detected.

mshost.exe_ - Trojan.Win32.Agent.cqva,
wlachocia.txt - Backdoor.PHP.Rst.as
New malicious software was found

>>254
トレンドマイクロ返答。但し、どのファイルに該当するかは不明。

BKDR_SHELL.BW
TROJ_PHPINFO.J
BKDR_CARDST.BU

カスペからの返事

>>193(>>209,220)　tane0452
4+2=6/9
of.js - Exploit.JS.Agent.aks

At the moment this file is detected.

>>195 （>>209,216） tane0453
2/2でシグネチャ・ベースでクローズ

owc1.js - Exploit.JS.Sheat.a　（←HEUR:Exploit.Script.Generic)

This file is detected because it contains the instruction which attempts to download and install
malicious program on your computer by using security breach.
（このファイルは検知されています。なぜなら、セキュリティ・ホールを突いて、PCに悪意のあるプログラムを
ダウンロードし、インストールしようとする方法がコードに記載されているから）



返事がなくて、既に検知しているものはあるかも。
あとで、tane0457まで状況報告します。

まだ、新検体は代理提出お願いします。

カスペ2010　14:45

>>185(>>188,191,221) tane0451
25+1=26(うちHEUR7),白0,残11

Exploit.JS.DirektShow.k 　　benpao2020.com\go1.jpg　（白→黒訂正)
Trojan-Downloader.JS.Iframe.bkq 　　www.skywebsv.com\MsAccess.htm　（←HEUR:Exploit.Script.Generic）

スルー11内訳（カッコ内は最新VT検出数）
(1)antiviruspcscannerv7.com
antiviruspcscannerv7.com.htm (12/41)

(2) benpao 2020.com
360.htm (3/41)、a1a.htm　(3/41)、t.js　(4/41)

(3)upload.octopus-multimedia.be
gen.php (0/41)

(4)wwwskywebsv.com
Darkst.htm (0/39)、Ms08011.htm,Ms08053.htm (最後2つは互いに同一ハッシュ) (0/40)
依然として、virus HEUR:Exploit.Script.Genericのまま 　　　/Blog.htm　　　/web(1).htm　　　/web.htm

(5)wwwteamerblog.com
Darkst.htm, Ms08011.htm, Ms08053.htm…(4)と同一ハッシュ (0/41)
依然として、virus HEUR:Exploit.Script.Genericのまま 　　　/blog.htm　　　/fc2.htm 　　　/FFXI-search.htm　　　/MsAccess.htm　　　 /play.htm


>>193(>>209,220, 257)　tane0452
4+3=7/9　（残2:　wesssrett.cn\ index.php, typeSBc.swf)
Trojan-Dropper.Win32.Agent.avxs 　　a222.dnf5.com\1.exe

場合によっては、未決分について、代理提出お願いします。

やっと全鯖巻き添え規制解除...ということで

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=466
　DL virus／解凍 virus

【中身】　６個入り
bnret.com
　　web.exe - http://www.virustotal.com/analisis/404ba4cc8e9186cd43e6728f91d1a7269b4a449c3b0d7054527ef0ef4c606d61-1248185475 (23/40)
bvgg6.cn
　　02.js - http://www.virustotal.com/analisis/6905af6e35a59cde112418c12717f0a333ba5acb9869714fdccdf5278283b6f7-1248185538 (11/41)
　　a.js - http://www.virustotal.com/analisis/b8ae55dd10e918b29db4ab0594ca01cff19ef5737f912b7f645c8b3543e8569b-1248187146 (11/41)
　　go.jpg - http://www.virustotal.com/analisis/5bc1318e9e8ac790f406e1197df5fa7255d0e6acb85a12d28a8f8bacecc9755f-1248187598 (9/38)
　　go1.jpg - http://www.virustotal.com/analisis/f17f1075f9bcc741c7486efb0700825d448a3d4e0057fd99a8a832ae396b9ea8-1248163962 (23/41)
seriall.com
　　Virtob.exe - http://www.virustotal.com/analisis/9aa12bd18ea0ceb05689f5efd887271258563c43f201c125db4c09282b49a365-1248186096 (16/41)

web.exeは、>235が落ちてくるファイルが入れ替わったので、同じサイトから。やっぱり定期的に入れ替えてますね。
あと、KasperskyのDirektShowの通し番号、もう l（エル） まで来たのか．．．速ぇーなぁ。

>>259
AVIRA 7.01.05.11　黒６／６

bnret.com
　　web.exe - TR/Dldr.Small.jwy.2
bvgg6.cn
　　02.js - HTML/Shellcode.Gen HTML
　　a.js - HTML/Shellcode.Gen HTML
　　go.jpg - HTML/Shellcode.Gen HTML
　　go1.jpg - EXP/Jippy.697
seriall.com
　　Virtob.exe - TR/Crypt.ZPACK.Gen

-----
Kaspersky 2009/07/21 21:35:00　黒（４＋１）／６

bnret.com
　　web.exe - Trojan-Downloader.Win32.Small.jwy
bvgg6.cn
　　02.js -
　　a.js - Exploit.JS.DirektShow.j
　　go.jpg - Exploit.JS.DirektShow.j
　　go1.jpg - Exploit.JS.DirektShow.l
seriall.com
　　Virtob.exe - （Virus.Win32.Virut.ce） ※ 既に返答あり／新種

AVIRAは全検出なので何も無し。Kasperskyは未検出分提出済み。（内、１個返答を受領済み）

>>259さん乙
ここまでSymantecとa-squaredとMalwarebytesに提出しました

>>259
Panda、GDATA2010（＝avast!、BitDefender）、ESETへ提出完了

>>259
McAfee (Active Protection 無効)1/6
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
02.js |heuristic detection |beav-shellcode |Application |no
a.js |heuristic detection |beav-shellcode |Application |no
go.jpg |heuristic detection |beav-shellcode |Application |no
virtob.exe |inconclusive | | |no
web.exe |inconclusive | | |no

http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=467
最近流行ってるアドウェア
某動画サイトからポップアップで開かれたサイトより収集
実行後juicytoolbarとほか以下のものがコンパネで確認
Internet Saving Optimizer
Media Access Startup
System Search Dispatcher

駆除は以上のものをアンインストールでOK

>>264
パスおながい

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=468
　DL virus／解凍 virus

【中身】
ecard.exe
　ttp://www.virustotal.com/jp/analisis/4068fff31c35747e90621078716047805301a34f1025be0d8c78da4134a10475-1248269772 (9/41)

1個だけなんだけど、今日メールで送りつけられてきた分で、ecard系の新種。

ＡＶＩＲＡ 7.01.05.16 - TR/Crypt.ZPACK.Gen
Kaspersky 2009/07/22 20:45:00 -

Kaspersky　提出済み。

>>266
Panda、GDATA(＝avast!＆BitDefender）へ提出完了
AviraとESETは既に検出済みなので提出せず

>>266
TrendMicroにも提出完了

>>266　Kaspersky返答

ecard.exe - Backdoor.Win32.UltimateDefender (黒，新種)

何か、Kasperskyらしくない、珍しい検出名だ...(w

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=469
　DL virus／解凍 virus

【中身】 ３個
beauty-hot-pornxxx.com
　　TubeViewer.ver.6.48103.exe - ttp://www.virustotal.com/jp/analisis/a9b1d7ef815d810be52314a5364faf557e4e90ddd07c93ef701b524a0621c3ca-1248256126 (8/37)
youtube-adult.name
　　setup.exe - ttp://www.virustotal.com/jp/analisis/3457dac65b42bb3cfd39c5f8a80e4807e11730755abaf3998de3f8cc46fa30d8-1248277309 (22/38)
seriall.com
　　Virtob_new.exe - ttp://www.virustotal.com/jp/analisis/76ace53e03f73250c396facfa6b12e0f0d28063fd2ac28f1bd6f0b10ef864581-1248277242 (15/41)

上２個は、MLDの2009/07/21で、RFIでなかったもの。　つか、1,769個リストアップされて、1,767個がRFIって何じゃそりゃ...orz
最後の1個は、>259の同サイトの物が入れ替わったので。

>>270
AVIRA 7.01.05.16 黒３／３

beauty-hot-pornxxx.com
　　TubeViewer.ver.6.48103.exe - TR/Crypt.XPACK.Gen
seriall.com
　　Virtob_new.exe - TR/Crypt.ZPACK.Gen
youtube-adult.name
　　setup.exe - TR/Dropper.Gen

-----
Kaspersky 2009/07/23 0:13:00 黒１／３

beauty-hot-pornxxx.com
　　TubeViewer.ver.6.48103.exe -
seriall.com
　　Virtob_new.exe -
youtube-adult.name
　　setup.exe - Trojan-Downloader.Win32.FraudLoad.wfqy

Kasperskyは未検出分提出済み。

>>270
Symatenc、Panda、GDATA2010（＝avast!＆BitDefender）へ提出完了

TrendMicro、ESETにも提出

>>270
ちなみにVTで出てない結果

NortonInternetSecurity2009

Downloader.MisleadApp：TubeViewer.ver.6.48103.exe
後はVT通りの結果で検出数は2/3


PandaGllobalProtection2010

setup.exe以外はヒューリスティックで検出、検出数2/3


GDATA2010はVT通りの結果なので特に報告せず

TrendMicroとESETは提出してるものの手元に試せる環境がないので報告できません（ただしウイルスバスターが2010になったら試すかも、いつになるかはわかりませんが）

>>270
McAfee (Active Protection 無効)1/3
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
tubeviewer.ver.6.481|inconclusive | | |no
virtob_new.exe |inconclusive | | |no


Active Protection 有効にてのスキャン
dat5683
beauty-hot-pornxxx.com
　　TubeViewer.ver.6.48103.exe（スルー）
youtube-adult.name
　　setup.exe (FakeAlert-EZ 削除）
seriall.com
　　Virtob_new.exe （スルー）

dat5685
beauty-hot-pornxxx.com
　　TubeViewer.ver.6.48103.exe（スルー）
youtube-adult.name
　　setup.exe (FakeAlert-EZ 削除）
seriall.com
　　Virtob_new.exe (Artemis!056604460358)

>>189の件といいXPがﾀﾞﾒﾀﾞﾒなのかMcAfeeがﾀﾞﾒﾀﾞﾒなのかorz..orz

>>270
PandaとNortonは全検出完了
VT見るとMcAfeeも全検出可能になってる

すまんｗパス忘れてた
パスはmalware

>>276
McAfee
検出名：Adware-DoubleD (怪しいプログラム)

>>264
各ベンダーに提出したものの白判定が多い

Avira

25386136 juicyaccess_installer.exe 652.27 KB CLEAN


Symantec

filename: juicyaccess_installer.exe
machine: Machine
result: This file is clean


Kasperskyにも提出したがどう反応するんだか・・・

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=470
virus

ttp://www.adobe.com/support/security/advisories/apsa09-03.html
milw0rmより、FlashPlayerの脆弱性を利用したswfを含むpdf。
# uudecodeなんて10年以上使ってなかったぜ…

>>279
ttp://www.virustotal.com/jp/analisis/635a1814c2a51c650a29f438cf4cb51cab9a9e294f5aeb3aa63866388ff87a9b-1248381246
McAfeeに提出させて頂きました。
AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
apsa0903.pdf |inconclusive | | |no

>>279
Panda、TrencMicroに提出

カスペ2010 16:06 代理提出の方�d

>>232�d tane0459
0+1=1で閉鎖
Backdoor.Win32.PcClient.atre 　　　/wmv.jar/wmv.scr/1199.exe

>>235�d tane0460 1/1で閉鎖(VT通り）
Trojan.Win32.Agent2.cglu 　　　www.bnret.com/web.exe

>>235�d tane0461
7/16 (残9)
Trojan.JS.Zapchast.q 　　　/msrmn.com/16.js
Exploit.JS.Sheat.c 　　　/msrmn.com/of.htm
Trojan-Downloader.JS.ShellCode.h 　　　/msrmn.com/of.js
Exploit.JS.Agent.ald 　　　/msrmn.com/real.js
Exploit.JS.RealPlr.qp 　　　/msrmn.com/real1.js
Trojan-Downloader.JS.Agent.eht 　　　/msrmn.com/vc14.htm 　　　/msrmn.com/vcfl.htm

>>238�d tane0462
6/8 (残２：スルー ms.bin,　　GVmp.htm)
virus Email-Worm.Win32.Joleee.crr 　　　\pdf exploit_yawxowaj.cn\load.exe
Exploit.Win32.Pidief.bes 　　　\pdf exploit_yawxowaj.cn\oldBelow.pdf
Exploit.JS.DirektShow.gen 　　　\www.okireng.com\go.jpg
Exploit.JS.Sheat.a 　　　\www.okireng.com\GVof.htm
Trojan-Downloader.JS.Agent.egp 　　　\www.okireng.com\www.okireng.com.htm
Trojan.Win32.FraudPack.poy 　　　\antimalwareaupdateserver.com\Driver.exe

>>243�d >>244代理提出�d tane0463
0+2=2/2で閉鎖
Exploit.Win32.FireFox.a 　　　fx351.htm　　　fx351.js

カスペ2010 16:06 代理提出の方�d

>>254�d tane0465
5/9　　(残4：test(1).txt), 　id.txt,　 test.txt, 　GVmp.htm)
Trojan.PHP.PHPInfo.g 　　　/sunset-travel.ro/devid.txt
Exploit.JS.DirektShow.gen 　　　/www.hotgome.net/go.jpg
Exploit.JS.Sheat.a 　　　/www.hotgome.net/GVof.htm
Trojan-Downloader.JS.Agent.egp 　　　/www.hotgome.net/www.hotgome.net.htm
Backdoor.PHP.C99Shell.a 　　　/www.justiciasalta.gov.ar/c99.txt


>>259�d (>>260代理提出�d)　　tane0466
5/6　　（残1:02.ｊｓ)
Trojan-Downloader.Win32.Small.jwy 　　　/bnret.com/web.exe
Exploit.JS.DirektShow.j 　　　/bvgg6.cn/a.js　　　/bvgg6.cn/go.jpg
Exploit.JS.DirektShow.l 　　　/bvgg6.cn/go1.jpg
virus Virus.Win32.Virut.ce 　　　/seriall.com/Virtob.exe

>>264�d tane 0467
0/1 (残：juicyaccess_installer)

>>266 �d tane0468
0+1=1/1で閉鎖

>>270�d (>>266,269代理提出&返答掲載�d)　　　tane0469 >>271代理提出�d
1+2＝3/3で閉鎖
Trojan-Downloader.Win32.Fraudload.faz 　　　/beauty-hot-pornxxx.com/TubeViewer.ver.6.48103.exe
Virus.Win32.Virut.ce 　　　/seriall.com/Virtob_new.exe

>>279�d tane0470
1/1で閉鎖(VT通り)
Exploit.Win32.Pidief.bes 　　　/apsa0903.pdf

カスペ2010 16:06 代理提出の方�d

>>246�d tane0464
13+2=15/15で閉鎖 (>>255さんの報告の通り）

以上未検出検体は提出します。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=471
　DL virus／解凍 virus

【中身】
ecard.exe
　ttp://www.virustotal.com/jp/analisis/f3be3edf60cf8423a37d595d6104641123986f75e83a34fc6fe6309b99cae570-1248440146 (22/41)

今日来た分。　何か、またecard系が良く来るようになった...>266よりはちょっと古いものっぽい。

>>285
AVIRA 7.01.05.27
ecard.exe - TR/Crypt.ZPACK.Gen

Kaspersky 2009/07/24 20:34:00
ecard.exr - Trojan-Spy.Win32.Zbot.zur

どっちも検出可，検体提出無し。

カスペからの返事

>>259 (>>283) tane0466
5+1=6/6でクローズ
02.js　　-　　 Exploit.JS.Agent.aln

>>193(>>209,220,257,258)　tane0452
4+(3+2)=9/9でクローズ
wesssrett.cn \ index.php 　　-　　 Trojan.JS.Agent.akj,
wesssrett.cn \ typeSBc.swf 　　-　　 Exploit.SWF.Downloader.nw

>>185(>>188,191,221,258) tane0451
25+2=27/39、残10（うち7ファイルほぼ白）

antiviruspcscannerv7.com \ antiviruspcscannerv7.com.htm _ -　 Trojan-Downloader.JS.FraudLoad.c

wwwskywebsv.com \ Blog.htm　　-　　Trojan-Downloader.JS.Iframe.blq 　　（←HEUR:Exploit.Script.Generic）
※ヒューリスティック検知のWeb(1).htm,Web,htmも同一ファイルか。

wwwteamerblog.com \ fc2.htm　 -　 IM-Worm.Win32.Sohanad.az　　（←HEUR:Exploit.Script.Generic）
※ヒューリスティック検知のblog.htm, play.htmも同一ファイルか

benpao2020.comの3つのファイル（"360.htm", "t.js" and "a1a.htm"）のうちのどれか
Trojan-Downloader.JS.Iframe.blr
どのファイルかは明記されていないので特定できず。(t.js or 360.htm)

>>254(>>283) tane0465
5+1=6/9、白2、,残1
test(1).txt 　　-　　Trojan.PHP.Agent.t
id.txt,　　test.txt 　　-　　No malicious software was found in the attached file.

>>285
GDATA2010（今回はBitDefenderのみ）へ提出完了

>>280
EXTRA.DAT到着

>>285
McAfee (Active Protection 無効)0/1
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
ecard.exe |new detection |pws-zbot |Trojan |yes

カスペ2010 6:15

>>185(>>188,191,221,258,287) tane0451
23+(2+2+1)=28/37、白2、残7（VT上0%なのでほぼ白か）で仮閉め、総ファイル数訂正orz
Trojan-Downloader.JS.Iframe.blr　　 　　　/benpao2020.com\t.js
360.htm,　 a1a.htm　 - 　白


>>131 tane0441
3+4=7/7に訂正。閉鎖(>>137と混同して報告してしまった。）>>141との差分は以下。
Trojan-Dropper.Win32.Agent.avpm 　　　　　1.exe
Trojan program Trojan.Win32.BHO.vnc 　　　　　1_1.exe
Trojan program Trojan-GameThief.Win32.WOW.qyd　　 　　　2.exe
Trojan program Trojan-PSW.Win32.Agent.nja 　　　　　2_1.exe

ecard系、また別種が来た。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=472
　DL virus／解凍 virus

【中身】
ecard.exe
　ttp://www.virustotal.com/jp/analisis/c7ac32318d05ac7f3de2724429af81c933f1427a68b9894832940c48fbebd200-1248481430 (18/41)

AVIRA 7.01.05.27
　ecard.exe - TR/Crypt.ZPACK.Gen

Kaspersky 2009/07/24 20:34:00
　ecard.exe -

Kaspersky提出済み。

>>291
Panda、GDATA（今回はavast!のみ）、TrendMicroに提出

カスペからの返事

>>185(>>188,191,221,258,287,290) tane0451 （検出)
wwwskywebsv.com \ Blog.htm　　Web(1).htm　　Web,htm-　　Trojan-Downloader.JS.Iframe.blq 　　（←HEUR:Exploit.Script.Generic）

>>254(>>283,287) tane0465 （返事）
5+事後1=6/9、白3でFA

GVmp.htm - No malicious code was found in this file.

>>291
�d & 代理提出�d 様子見してみます。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=472
　DL virus／解凍 virus

【中身】　11個，MDL 2009/07/23分
antispy2009.net
　　setup.exe - ttp://www.virustotal.com/jp/analisis/f59e7772321ee44d22b771eacc0c49022beb405abf873d245c45455031d665c6-1248472421 (22/41)
bestdomus.com
　　Klitecodec.exe - ttp://www.virustotal.com/jp/analisis/5fa7fd2271ba0c8b394a2089c519f95dfe896e1084f5bec949d7a6f086a5cb73-1248451393 (28/41)
cbbugltjud.com
　　udvvmquz.exe - ttp://www.virustotal.com/jp/analisis/07b1419445596a531070c4730439521e432fc6a5b92295e6bf805660bb0c387d-1248484404 (16/41)
delzzerro.cn
　　installb.exe - ttp://www.virustotal.com/jp/analisis/67953569d6bd22caa5deedbed8e417884c8c5dac4c077e647ad84b2ec2be1b51-1248489209 (4/41)
　　136.pdf - ttp://www.virustotal.com/jp/analisis/531d3d40946e59ec1e02620d50165a6fed9b6ea52ce7cc58508f561537045a00-1248486727 (13/41)
download-filez-now.us
　　setup.exe - ttp://www.virustotal.com/jp/analisis/05b65a607801397eab459e4a993f7c2174bfa2a241ecfe0fc78ad9acb63ee41d-1248484078 (3/40)
downloadsoftwareserver3.com
　　gdi32lib.dll - ttp://www.virustotal.com/jp/analisis/7ae6904f1ab728f18151bb877e627be88fe1083a52cb950a964d068344a55213-1248485692 (16/40)
　　xpdeluxe.exe - ttp://www.virustotal.com/jp/analisis/0b5655a46157d88e46bfab17dd4a514275a12584d823a6a0c8a949a50120871d-1248485427 (17/41)
drocuwil.cn
　　fromFactLooks.swf - ttp://www.virustotal.com/jpanalisis/8230871d68ddfd51b35a5be85a73c863b0c3f5dd81d9b69ed7db0e8c9f834f8d-1248481346 (5/41)
scanriteweb.com
　　install.exe - ttp://www.virustotal.com/jp/analisis/b82f95283f49a1ee09885df4bd29ab44378434ebc0ef6b040439139ab572a97d-1248487832 (21/40)
securityscanavailable.com
　　install.exe - ttp://www.virustotal.com/jp/analisis/cf12291839d22f7764f325bc115ad358f935abe2ccc1bac53e3087293cbfce07-1248487066 (18/41)

>>294
AVIRA 7.01.05.28 黒(8+1)/11，未検出 2，提出済み

【検出】
antispy2009.net
　　setup.exe - TR/FraudLoad.wkoi
bestdomus.com
　　Klitecodec.exe - TR/Dropper.Gen
cbbugltjud.com
　　udvvmquz.exe - TR/Dldr.Delphi.Gen
delzzerro.cn
　　136.pdf - HTML/Malicious.PDF.Gen
downloadsoftwareserver3.com
　　xpdeluxe.exe - TR/Fake.DeluPro
drocuwil.cn
　　fromFactLooks.swf - SWF/Drop.Small.HC
scanriteweb.com
　　install.exe - TR/Dropper.Gen
securityscanavailable.com
　　install.exe - TR/Dropper.Gen

【VDF update待ち】
downloadsoftwareserver3.com
　　gdi32lib.dll - (TR/BHO.udx)

【未検出】
delzzerro.cn
　　installb.exe -
download-filez-now.us
　　setup.exe -

>>294
Kaspersky 2009/07/25 12:09:00 黒7，HEUR 1，未検出 3，提出済み

【検出】
antispy2009.net
　　setup.exe - Trojan-Downloader.Win32.FraudLoad.wkoi
bestdomus.com
　　Klitecodec.exe - Trojan-Downloader.Win32.FraudLoad.wimq
cbbugltjud.com
　　udvvmquz.exe - Trojan.Win32.Pasta.axo
downloadsoftwareserver3.com
　　xpdeluxe.exe - not-a-virus:FraudTool.Win32.WinPCDefender.bo
　　gdi32lib.dll - Trojan-Downloader.Win32.FraudLoad.wjvl
scanriteweb.com
　　install.exe - Trojan-Downloader.Win32.FraudLoad.wkrn
securityscanavailable.com
　　install.exe - Trojan-Downloader.Win32.FraudLoad.wkrn

【HEUR】
delzzerro.cn
　　136.pdf - HEUR:Exploit.Script.Generic

【未検出】
delzzerro.cn
　　installb.exe -
download-filez-now.us
　　setup.exe -
drocuwil.cn
　　fromFactLooks.swf -

>>294
http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=473

McAfee (Active Protection 無効)14/19
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
136.pdf |inconclusive | | |no
fromfactlooks.swf |inconclusive | | |no
installb.exe |new detection |generic.dx!biz |Trojan |yes
setup.exe |inconclusive | | |no
xpdeluxe.exe |inconclusive | | |no

>>297
あ。　申し訳ない、コピペして使ったの番号直すの忘れてた。orz

>>294は、>297さんの書いた方のリンクが正解です。　一応再掲

>294　→ ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=473

>>294
Symantec、Panda、TrendMicro、GDATA（＝avast!＆BitDefender）、ESETへ提出完了

Symantecから自動返答

filename: fromFactLooks.swf
machine: Machine
result: See the developer notes

filename: gdi32lib.dll
machine: Machine
result: This file is detected as Trojan.Fakeavalert.

filename: udvvmquz.exe
machine: Machine
result: See the developer notes

filename: setup.exe
machine: Machine
result: See the developer notes

filename: installb.exe
machine: Machine
result: See the developer notes

ここまでSymantecとa-squaredとMalwarebytesに提出しました

>>296
Kaspersky 2009/07/25 21:09:00　1個検出可になりました。

download-filez-now.us
　　setup.exe - Trojan-Downloader.Win32.FraudLoad.fbl

う〜ん、Kasperskyから返答全く来ないから、何がどうなっているのやら...

>>291(>>292)
カスペからの返事 tane0472
先ほど提出
0+事後1=1/1で閉鎖

ecard.exe - Backdoor.Win32.UltimateDefender.xp

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=474
infected

うちもSPAMメールについてきたので。例によって、ついてきたZIPファイルそのものと、解凍した中身を両方入れてあります。

ecard.exeは>>285と同じ物だと思いますので、重複提出にならないようにご注意ください。(7/23〜7/25の間で全部同じものでした）
ほかの２種類は、今日始めて来たもの。

UPSNR_881762167.exe(12/40)
ttp://www.virustotal.com/analisis/891980cb69c0c7f417489a545744597c17cce45594008c544bad927cb2506b81-1248528957
UPSFILE_NR10128777.exe(19/41)
ttp://www.virustotal.com/analisis/4be8187caafc7f88a309614c64743caac1a85a7aff4169969ebd7bcd4cf67d8e-1248533592

>>303
AntiVir
ecard.exeのみ検知。ほかの２種類はスルー。

AntiVirとAntiyLabsにはFTP経由で提出済み。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=475
infected

■検体入手元
MDL 2009/07/23〜7/24辺り（多分、重複ファイルあり。重複チェックできてなくてごめん）
MalwareURL.com 7/21〜7/24辺り
リネージュ資料室の更新リスト

■既提出済みの所
AntiVir(未検出分のみ)とAntiyLabsにはFTP経由で提出済み。

>>303
ファイル名からするとUPSからのアラートのフリして来る奴かな?
これはうちは最近あまり来てないなぁ。

>>303
Kaspersky 2009/07/25 23:26:00 黒3/3

ecard.exe - Trojan-Spy.Win32.Zbot.zur
UPSFILE_NR10128777.exe - Backdoor.Win32.Bredolab.az
UPSNR_881762167.exe - Backdoor.Win32.Bredolab.bm

全部検出するので、提出無し。

カスペ2010 23:26

>>303�d tane0474
3/3でクローズ
Trojan-Spy.Win32.Zbot.zur 　　　\spam mail\ecard.exe
Backdoor.Win32.Bredolab.az 　　　\spam mail\UPSFILE_NR10128777.exe
Backdoor.Win32.Bredolab.bm 　　　\spam mail\UPSNR_881762167.exe

>>305�d tane0475
>>307 代理報告�d 3/3でクローズ


カスペからの返事
>>297 (>>296,301) tane0473
黒8(うちHEUR1)+1=9/11,　 白1、　残1(installb.exe)

fromFactLooks.swf　　-　　No malicious code was found in this file.

>>305
Kaspersky 2009/07/25 23:26:00 黒27/44，HEUR 1，未検出 15

【検出】
scanriteweb.com
　　install.exe - Trojan-Downloader.Win32.FraudLoad.wkrn
bestdomus.com
　　Klitecodec.exe - Trojan-Downloader.Win32.FraudLoad.wimq
7cib5fzf462g8.cn
　　setup.exe - not-a-virus:FraudTool.Win32.Agent.uj
antispy2009.net
　　setup.exe - Trojan-Downloader.Win32.FraudLoad.wkoi
downloadsoftwareserver3.com
　　xpdeluxe.exe - not-a-virus:FraudTool.Win32.WinPCDefender.bp
securityscanavailable.com
　　install.exe - Trojan-Downloader.Win32.FraudLoad.wkrn
sobadar.cn
　　loader.exe - Trojan-Spy.Win32.Zbot.zip
847474.cn
　　file.exe - Trojan-Spy.Win32.Zbot.zvt
trust-service.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.yyv
888admins.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.gen
driveupdate.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.yst
threeways.cn
　　bot.exe - Trojan-Banker.Win32.Bancos.eof
abrikos.info
　　update.exe - Backdoor.Win32.Bifrose.avjw
bananasdogs.cn
　　svchost.exe - Trojan-Spy.Win32.Zbot.xhc

>309 続き
ronplesco.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.gen
goodsovclass.cn
　　ldr.exe - Trojan-Spy.Win32.Zbot.xyl
klikvs.cn
　　EXP_01.exe - Trojan-Spy.Win32.Zbot.yyj
　　load.exe - Trojan-Spy.Win32.Zbot.gen
newadmins7.cn
　　bot.exe - Trojan.Win32.Buzus.boan
thaigan.cn
　　loader.exe - Trojan-Spy.Win32.Zbot.yam
volonterkom.cn
　　ldr.exe - Trojan-Spy.Win32.Zbot.gen
wthelp.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.gen
yb-sport-555.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.gen
yb-sport-555.cn
　　load.exe - Trojan-Spy.Win32.Zbot.zpl
www.shaimokale.com
　　張佑赫.exe - Backdoor.Win32.PcClient.avvd
xp-deluxeprotector.com
　　setup.exe - not-a-virus:FraudTool.Win32.Agent.nk
www.shaimokale.com
　　online.scr - VN=Backdoor.Win32.PcClient.avvd
　　online.zip - VN=Backdoor.Win32.PcClient.avvd

【HEUR】
delzzerro.cn
　　720.pdf - HEUR:Exploit.Script.Generic

>310 続き

【未検出】
antispy2009.net\index.php
cbbugltjud.com\udvvmquz.php
delzzerro.cn\installb.exe
download-filez-now.us\setup.exe
downloadsoftwareserver3.com\gdi32lib.dll
googleclear.com\index.php
googleclear.com\install.exe
scanriteweb.com\scanonline.php
securityscanavailable.com\index.php
Trojan FakeRean\Install.exe
aswqert.cn\file.exe
b18c.cn\bot.exe
domenpoxuj.cn\bot.exe
makefred.cn\b1t.exe
xp-deluxeprotector.com\xp-deluxeprotector.com.htm

>>305 乙でした。
フォルダ名見ると、いくつか同じサイトから同じファイルを落としていると思うのですが、中身が一致しないものが
ありますので、アクセスした人の環境を見てダウンロードさせるファイルを変えているサイトがありそうです。

なお、未検出分はチェック後にKasperskyに提出しますが、私の提出分は
どうもここ数日スルーされてる？っぽいので、他の人も出した方が良いかも...

※ 隔離フォルダから送ったQuarantine Objectですら処理されないところを見ると、
　　私の提出分はフィルタリングに引っかかってゴミ箱直行になっているかもしれません。

>>303
McAfee (Active Protection 無効)1/3
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
upsfile_nr10128777.e|new detection |bredolab.gen |Trojan |yes
upsnr_881762167.exe |new detection |bredolab.gen |Trojan |yes

>>305
McAfee (Active Protection 無効)35/50
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
setup.exe |inconclusive | | |no
720.pdf |inconclusive | | |no
b1t.exe |inconclusive | | |no
bot.exe |new detection |generic.dx!bip |Trojan |yes
bot.exe |new detection |generic.dx!bip |Trojan |yes
bot.exe |inconclusive | | |no
file.exe |new detection |generic pws.y!fp |Trojan |yes
file.exe |inconclusive | | |no
gdi32lib.dll |new detection |generic pup.x!x |Application |yes
index.php |inconclusive | | |no
installb.exe |inconclusive | | |no
load.exe |inconclusive | | |no
setup.exe |inconclusive | | |no
xp-deluxeprotector.c|inconclusive | | |no
xpdeluxe.exe |inconclusive | | |no

>>311
Kaspersky 2009/07/26 1:41:00 更新したら検出可になったもの
　aswqert.cn\file.exe - Trojan-Spy.Win32.Zbot.zwx

AVIRAから既知のCLEANファイルであると自動返答があったもの
　makefred.cn\b1t.exe

一応、寝る前に判明したので。

カスペからの返事
>>297 (>>296,301,308) tane0473
黒8+1=9/11,　 白1、　残1(installb.exe)

136.pdf - Exploit.JS.Pdfka.OG （←HEUR:Exploit.Script.Generic)

305 (tane0475)は暫く見送り

ここまでSymantecとa-squaredとMalwarebytesに提出しました

>>303
>>305

Panda、GDATA(＝avast!＆BitDefender）、ESETへ提出完了

>>314
ごめん、bit.exeはただのhtmlで無害なものでした。またやっちまった。orz

>>303 >>305
マイナー所を含む各社に提出完了。ZonerとNormanはごめんなさいっ。

>>311
さて、相変わらずKasperskyから返答無いけど、検出可になるのは進んでいます。

Kaspersky 2009/07/26 9:42:00　残件2個
　antispy2009.net\index.php
　cbbugltjud.com\udvvmquz.php
●delzzerro.cn\installb.exe - Trojan-Dropper.Win32.Agent.axxg
●download-filez-now.us\setup.exe - Trojan-Downloader.Win32.FraudLoad.wlc
●downloadsoftwareserver3.com\gdi32lib.dll - Trojan-Downloader.Win32.FraudLoad.wlch
●googleclear.com\index.php - Trojan-Downloader.JS.FraudLoad.d
●googleclear.com\install.exe - Trojan-Downloader.Win32.FraudLoad.wlci
●scanriteweb.com\scanonline.php - Trojan-Downloader.JS.FraudLoad.e
●securityscanavailable.com\index.php - Trojan-Downloader.JS.FraudLoad.d
●Trojan FakeRean\Install.exe - Trojan-Downloader.Win32.FraudLoad.fbo
●aswqert.cn\file.exe - Trojan-Spy.Win32.Zbot.zwx
●b18c.cn\bot.exe - Trojan-Spy.Win32.Zbot.zxa
●domenpoxuj.cn\bot.exe - Trojan-Spy.Win32.Zbot.zwz
○makefred.cn\b1t.exe
●xp-deluxeprotector.com\xp-deluxeprotector.com.htm - Trojan.HTML.Fraud.a

>>291　こっちも判定終了
●ecard.exe - Backdoor.Win32.UltimateDefender.xp

カスペ 2010 9:42検出ベース

>>305 �d (>>309-311,314) >>309代理提出�d tane0475
29(?)+13=42/44、とりあえず、残2（antispy2009.net\index.php、makefred.cn\b1t.exe）
unknown threat UDS:DangerousObject.Multi.Generic 　　　cbbugltjud.com\udvvmquz.php （KNS検知)
Trojan-Dropper.Win32.Agent.axxg 　　　\delzzerro.cn\installb.exe
Trojan-Downloader.Win32.FraudLoad.wlch 　　　\downloadsoftwareserver3.com\gdi32lib.dll
Trojan program Trojan-Downloader.Win32.FraudLoad.wlcf 　　　\download-filez-now.us\setup.exe
Trojan-Downloader.Win32.FraudLoad.wlci 　　　\googleclear.com\install.exe
Trojan-Downloader.JS.FraudLoad.d 　　　\googleclear.com\index.php
Trojan-Downloader.JS.FraudLoad.e 　　　\scanriteweb.com\scanonline.php
Trojan-Downloader.JS.FraudLoad.d 　　　\securityscanavailable.com\index.php
Trojan-Downloader.Win32.FraudLoad.fbo 　　　\Trojan FakeRean\Install.exe
Trojan-Spy.Win32.Zbot.zwx 　　　\Trojan Zbot\aswqert.cn\file.exe （>>314にて報告)
Trojan-Spy.Win32.Zbot.zxa 　　　\Trojan Zbot\b18c.cn\bot.exe
Trojan-Spy.Win32.Zbot.zwz 　　　\Trojan Zbot\domenpoxuj.cn\bot.exe
Trojan.HTML.Fraud.a 　　xp-deluxeprotector.com\xp-deluxeprotector.com.htm
Trojan program Exploit.JS.Pdfka.og 　　　delzzerro.cn\720.pdf （←HEUR:Exploit.Script.Generic)



>>185(>>188,191,221,258,287,290,293) tane0451 （返事)
wwwteamerblogcom \MsAccess.htm_ - Trojan-Downloader.JS.Agent.eia （←HEUR:Exploit.Script.Generic）

>>319とかぶった。orz

ちなみに、unknown threat UDS:DangerousObject.Multi.Generic は、KIS2010のみ
シグネチャで配信されているのか、DBに速照しているのかはわからない。たぶん前者。

>>319
珍しくKasperskyから返答。私のメールがフィルタリングに引っかかってるわけじゃないのか...

●antispy2009.net\index.php - Trojan-Downloader.JS.FraudLoad.f
○cbbugltjud.com\udvvmquz.php - No malicious code was found in this file.

ちなみに白判定になった方のファイルのVT
ttp://www.virustotal.com/analisis/ee61c1d2d8e91afb70e2fe4fee323c767290d06dd76fa3b80bd691eb3d08b2e0-1248571660 (33/41)

むぅ、釈然としねぇ...VTの結果もつけて送ったのに。　これは、また後でひっくり返しあるかも？(w

とりあえず、>305は黒42＋白2でclose.

カスペからの返事
>>305 �d (>>309-311,314,320,322)
44/44でクローズ

Trojan Zbot \ makefred.cn \ b1t.exe_ - Trojan.HTML.Dosser.c,
antispy2009.net \ index.php - Trojan-Downloader.JS.FraudLoad.f

New malicious software was found in these files.

>>322さんのベースと異なり、混乱するので、当方ベースのみで計算

>>322
スクリプトは、ダウンロードされる実行ファイルが検知されるといいと思われ。

カスペからの返事

>>305 �d (>>309-311,314,320,322,323)
43/44,白1でクローズ。
udvvmquz.php − No malicious code was found in this file. (←KSN検知）

KSN検知はまだ黒確定ではないようだ。

（＾ω＾；）

このごろGoogleとかでバナー張ってあって怪しいなぁと思っているのだが、
Registry Winnerというレジストリクリーナーらしきもの

怪しいのでAvast!(AlwilSoftware社）に提出済み
http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=477
DL・解凍　どちらもvirus

>>325

Avira、Syamntec、Panda、TrendMicro、GDATA（今回はBitDefenderのみ）、ESET、Kasperskyへ提出完了

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=478
　DL virus／解凍 virus

【中身】
ecard.exe
　ttp://www.virustotal.com/jp/analisis/5e4b36d7919bd8261a9eece3c0426c9dfd164c5502f6c47577a99e14d0510583-1248612828 (23/41)

今日来た分。ecard、日替わりだねぇ...

AVIRA 7.01.05.28 - TR/Hijacker.Gen
Kaspersky 2009/07/26 18:30:00 - Trojan-Downloader.Win32.Agent.byc

どちらも検出可なので、提出無し。

カスペからの亀返事
>>202(>>209,216,218) tane0455
2+事後3=5/10、残5
xyachuch.swf 　　-　　 Exploit.SWF.Downloader.nx

New malicious software was found in this file.

追加検知 19:39
Trojan program Exploit.Win32.Pidief.bei 　　thetests.net\e50i.pdf
virus Worm.Win32.Bezopi.a 　　bezopbizn.ru\getexe.exe

残ファイルについては、フォロー

>>325 �d、>>326代理提出�d。提出見合わせ。現在、0/1
>>327�d、報告�d 1/1でクローズ。

>>325
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
registrywinner_setup|inconclusive | | |no

>>327
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
ecard.exe |inconclusive | | |no

カスペからの返事
>>202(>>209,216,218.328) tane0455
2+5=7/10, 残3 (index.htm,index.php２つ)

（bezopbizn.ru\)pdf.pdf - Exploit.Win32.Pidief.bfq

New malicious software was found in this file.

Trojan.Win32.VB.sru 　　thetests.net\file.exe （検知）


まとめ直し
Trojan.HTML.IFrame.ao　　-　　 \ferarilatka.cn\index.php
Trojan program Exploit.Win32.Pidief.bej　　- \　　ferarilatka.cn\koxyebuth.pdf
Exploit.SWF.Downloader.nx 　　- \　　ferarilatka.cn\xyachuch.swf
Exploit.Win32.Pidief.bei　　- \thetests.net\e50i.pdf
Trojan.Win32.VB.sru　　- 　　 \thetests.net\file.exe
virus Worm.Win32.Bezopi.a　　- 　　 \bezopbizn.ru\getexe.exe
pdf.pdf - bezopbizn.ru\Exploit.Win32.Pidief.bfq

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=479
infected

■ 検体入手元
MalwareURL.com 7/25分から＋α

■ 提出済みのところ
各社一通り（ZonerとNormanを除く）

カスペ2010 5：08
>>331�d 提出�d tane0479

14(うちHEUR2)/43 残29 (´･ω･｀)ｼｮﾎﾞｰﾝ

virus not-a-virus:FraudTool.Win32.AntivirusPlus.kv 　　　/209.44.126.36/installer_1.exe 　　　/209.44.126.36/installer_70106.exe　　　/bazyrpe.cn/installer_1.exe (3files)
virus HEUR:Trojan.Win32.Invader 　　　/BBS spam/ro.zip/ro.exe　　　/mixi spam/20090716*.zip/20090716mnwmhxzb.exe (2files)
Trojan-Downloader.Win32.CodecPack.jlx 　　　/cool-exe*/crack.45000.exe
Trojan-Downloader.HTML.FraudLoad.b 　　　/lendshaft.info/lendshaft.info(1).htm
Trojan-Downloader.JS.FraudLoad.d 　　　/scanworldwid*/index.php
Trojan-Downloader.JS.FraudLoad.e 　　　/scanworldwide*/scanonline.php
Trojan-Downloader.Win32.FraudLoad.fbs 　　　/systemsecurity*/AVCare_Setup_Free_en.exe
Trojan-Downloader.Win32.CodecPack.jly 　　　/thegrouttube.com/onlinemovies.40000.exe
virus not-a-virus:FraudTool.Win32.WinSpywareProtect.adj 　　　/thehotporntub*/pornmovie492.exe
Trojan-Downloader.JS.FraudLoad.d 　　　/thesecureyourpc.com/index.php
Trojan.Win32.Agent.bhcf 　　　/zhang.nu/AdobeFlashPlayer.10.37.exe

カスペからの返事
>>202(>>209,216,218.328,330) tane0455
2+事後7=9/10、白1で閉

bezopbizn.ru \ index.php - Trojan.JS.Agent.akm
thetests.net \ index.php - Trojan.JS.Agent.akm
thetests.net \\ index.htm 　　-　　　 No malicious code was found in this file.

カスペ 10:39
>>331 （>>332) tane0479
14+5=19/43

Trojan-GameThief.Win32.OnLineGames.vifu 　　　/BBS spam/ro.exe　（←HEUR:Trojan.Win32.Invader）
Trojan program Trojan-GameThief.Win32.OnLineGames.vifv 　　　/mixi spam/20090716mnwmhxzb.exe 　（←HEUR:Trojan.Win32.Invader）
Trojan-Downloader.Win32.FraudLoad.wlte 　　　/gusoft.us/install.exe
Trojan-Downloader.JS.FraudLoad.d 　　　/scanworldwideweb.com/index.php
Trojan-Downloader.Win32.FraudLoad.wlte 　　　/thesecureyourpc.com/install.exe

カスペからの返事
strelyk.info \ install.exe_　　　 -　　　 Trojan.Win32.FraudPack.psp
dl.9sv.cn \ InternetAntivirusPro.exe 　　　-　　　not-a-virus:FraudTool.Win32.InternetAntivirusPro.ae

New malicious software was found in this file.

カスペ2010 14:34 と 返答状況

>>331 （>>332,333) tane0479
14+7=21/43、白1, 残21

in5id.com \ file.exe　　　-　　　Trojan-Spy.Win32.TDSS.cp （返事)
thesecureyourpc.com \ install.exe　　　-　　　Trojan-Downloader.Win32.FraudLoad.wlte (検知）

dl.9sv.cn \ MySpeed_Onlineinstaller_wz_1003.exe - No malicious code was found in this file.（返事）

>>331　乙です。

提出して頂いているようなので、検出数だけ。

AVIRA 7.01.05.32で、黒 23/43，未検出 20です。

カスペ2010 21:28 & 返答状況
>>331 （>>332-334) tane0479
14+(7+2)=23/43, 白5、残15

in5id.com\InternetAntivirusPro.exe 　　　　-　　　not-a-virus:FraudTool.Win32.InternetAntivirusPro.ae （検知）　　
lendshaft.info\install.exe　　　-　　　Trojan.Win32.FraudPack.psp 　（検知）


209.216.193.99\AdwarePro_Setup.exe　　　-　　　No malicious code was found in this file. （返答）
lendshaft.info\　destrub.js_,　 lendshaft.htm_, 　script_en.js_　　　-　　　No malicious code were found in these files. （返答）

>>294,305
ｔｔp://delzzerro■cn/pic/uzp.php　
ここ、ちょっとヤバイですね。配布するマルウェアが、ころころ新種に入れ替わってます。　どうりで>294と>305でファイルが違うわけだ...

しかも、gumblarの時と同じく、アクセス制限がある臭い。時間をおかずに再アクセスすると、無視されます。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=480
　DL virus／解凍 virus

【中身】 2009/7/27 22:15(JST)頃に確保したもの
　installb.exe - http://www.virustotal.com/jp/analisis/0af9d81a7bed5f9e9b5ba84efe53ef4093462bc45943bba549ca78f40a495460-1248700622 (8/36)

AVIRAもKasperskyもスルー，提出済みです。

>>337
Panda、GDATA（＝avast!＆BitDefender）、TrendMicro、ESETへ提出完了

325ですが、他のベンダーへの提出、ご苦労様でした。

それとこれからの注意なのですが、Aviraに直接メールで提出すると返事は返ってくるものの、対応されない場合がありますので、その点気をつけてください。

私のとこだけかもしれないのですがー応、Webからの堤出のほうが確実かと思われます。

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=481
　DL virus／解凍 virus

【中身】
ecard.exe
　ttp://www.virustotal.com/jp/analisis/970e75e18151e6aa3fbd89e3599856f4d02542eb101592c2fa31fe149e0eb8f1-1248705376 (17/41)

日替わりecard。今日はzbotだった。

>>337
Panda検出確認

ttp://www.virustotal.com/analisis/0af9d81a7bed5f9e9b5ba84efe53ef4093462bc45943bba549ca78f40a495460-1248706385

>>340
GDATA2010（今回はBitDefender）へ提出完了

>>337
AVG、Comodoに提出しました

カスペ2010 9:19
>>340 �d tane0481 1/1で閉鎖
Trojan-Spy.Win32.Zbot.gen 　　　tane0481.zip/ecard.exe

あとは他検体含め状況変化なしです。

カスペ2010
>>297 (>>296,301,308,315) tane0473
黒8+事後2=10/11,白1でclose
Trojan-Downloader.Win32.Agent.ckkz 　　tane0473\delzzerro.cn\installb.exe （検知)
At the moment this file is detected. Please update your antivirus bases.

同名のinstallb.exe>305は、>>320で追加検知。>>337はスルー。

↓アンカーミス訂正。すまぬ。
>>202(>>209,216,218,328,330) tane0455
2+事後7=9/10、白1で閉

カスペからの返事

>>337�dtane0480
0+事後検知1=1/1で閉鎖

installb.exe　　-　　Trojan-Downloader.Win32.FraudLoad.fce

New malicious software was found in the attached file.

再開

セキュリティに関するニュースを淡々と伝えるスレ5
http://pc11.2ch.net/test/read.cgi/sec/1232882573/

カスペからの返事
>>331 （>>332-334,336) tane0479
14+(9+3)=26/44、白6、残11
64.86.16.7_64.213.140.71　　\　　Setup_build8_102.exe_　　- not-a-virus:FraudTool.Win32.WinSecSuite.b
scanworldwideweb.com　　\　　scan.php　　- Trojan-Downloader.JS.Agent.eie,
thegrouttube.com　　\　　xplay.php　　- Trojan-Downloader.HTML.Agent.pq
New malicious software was found in these files.

64.86.16.7_64.213.140.71　　\　　sheltercloud.cn.htm_　　- No malicious code was found in this file.

カスペ2010 9:43
>>331 （>>332-334,336,348) tane0479
14+(12+1)=27/43、白6、残10

virus not-a-virus:FraudTool.Win32.WinSecSuite.b searchallinfo.net\Setup_build8_102.exe (検出)
>>348と同一検体名だった。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=482
infected

■検体入手元
MalwareURL.comの7/27分とMDLの7/28分より

■提出済みのところ
AntiVirとAntiyLabsにはFTP経由で提出済み。他は送ってません。

>>350
McAfee (Active Protection 無効)18/151
未検出分をMcAfeeに提出させて頂きました。

>>350�d tane0482

カスペ2010 18:04
122/151（HEURなし）、スルー29

Backdoor.Win32.HareBot.ho 　　　2348*.cn\load.exe
Trojan-Downloader.Win32.FraudLoad.wmhc 　　　3uxyc*cn\setup.exe
Trojan-Spy.Win32.Zbot.zse 　　　4sx2.cn\fservice.exe
Trojan-Spy.Win32.Zbot.zsg 　　　4sx2.cn\sservice.exe
Trojan-Downloader.JS.FraudLoad.d 　　　allow*.com\index(1).php、　　　\index.php 　　　(2 files)
Trojan-Downloader.Win32.FraudLoad.eos 　　　behiswa.cn\befynru.cn.htm、　　　\behiswa.cn.htm　　　(2 files)
virus not-a-virus:FraudTool.Win32.AntivirusPlus.kv 　　　behiswa.cn\installer_70106.exe
Trojan-Dropper.Win32.Agent.aygg 　　　cxim*.cn\load.exe
Trojan-Spy.Win32.Zbot.yst 　　　drive*.cn\bot.exe
Trojan-Downloader.Win32.FraudLoad.eyw 　　　Fake Anti*\Install.exe
virus not-a-virus:FraudTool.Win32.AntivirusPlus.kv 　　　FakePlus\installer_1.exe
Trojan-Downloader.Win32.FraudLoad.fck 　　　hot-exe*.com\onlinemovies.[40000-40018, 40020-40100].exe 　　(100 files)
Trojan-Downloader.Win32.Small.jvl 　　　hot-exe*.com\onlinemovies.40019.exe
Trojan.Win32.FraudPack.pth 　　　myair*.cn\Setup_build6_102.exe
Trojan-Spy.Win32.Zbot.gen 　　　nupo*com.cn\bot.exe
Trojan-Downloader.Win32.Injecter.dgo 　　　redbool.cn\load.exe
Exploit.Win32.AdobeReader.p 　　　redbool.cn\pdf.pdf
Trojan.Win32.FraudPack.pth 　　　securitysun.cn\Setup_build6_158.exe、　　　Setup_build6_27.exe、　　　Setup_build8_102.exe (3 files)
Backdoor.Win32.Bredolab.ca 　　　varrugilanto-2.com\load.exe

検体提出します。

カスペ18:04
>>350(>>352) tane0482
記載漏れ 127/151,残24

Trojan-Downloader.Win32.Murlo.bnu　　　\4sx2.cn\msinms.exe
Backdoor.IRC.Zapchast.j等　　　\IRC backdoor\postcard.exe
virus HEUR:Trojan.Win32.Generic 　　　\122.70.145.140\file.exe
virus HEUR:Exploit.Script.Generic 　　　\cxim*.cn\readme.pdf
virus HEUR:Trojan-Downloader.Script.Generic 　　　\redbool.cn\index.php

>>350さん乙
ここまでSymantecとa-squaredとMalwarebytesに提出しました

7月は、今世紀最大規模の攻撃が進行してるよね

カスペ20:37
>>350(>>352,353) tane0482
記載漏れ 127+4=131/151,残20
Trojan-Downloader.JS.Iframe.bmk 　　　\freshsummer.ru\frtuyelo.html （検知）
Trojan-Downloader.JS.Iframe.bmk 　　　\freshsummer.ru\sunshine.html　　（検知）
Trojan.Win32.FraudPack.ptp　　　-　　　\download.sttcounter.cn\install.exe （返答）
Trojan-Downloader.Win32.FraudLoad.fco　　　-　\scanworldwideweb.com\install.exe （返答）


>>264 0/1、白1で閉鎖 tane0467
juicyaccess_installer.exe - No malicious code was found in this file.

＞7月は、今世紀最大規模の攻撃が進行してるよね

根拠のない的外れな発言は、セキュリティ板には不要です。

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=483
infected

初心者質問スレにあった FakeCodec

CodecWMV-3.5.exe(5/41)
ttp://www.virustotal.com/analisis/160104dd92341d275059f2893103a97bbf711c5cf7b27341924954f6b6011e70-1248870734

>>356
鈍感だな

RBB TODAY
2009年は過去最高、上半期だけで66万の新種マルウェアが発生 〜G Data調べ　2009/7/28
ttp://www.rbbtoday.com/news/20090728/61513.html

ウィルス対策ニュース・ドットネット
AV-Testによるウィルス検出率ランキングが発表　2009/7/29
ttp://antivirus-news.net/2009/07/avtestmcafeeg-data21.html

Certified Definitions - Detections Added Symantec Corp.
Detections modified for this release (518):
ttp://www.symantec.com/business/security_response/definitions/certified/index.jsp

>>356

VirusTotal - Free Online Virus and Malware Scan - Statistics
ttp://www.virustotal.com/estadisticas.html

>>359
一応日本語ページな

VirusTotal - 無料オンライン ウイルス／マルウェア スキャン - 統計
ttp://www.virustotal.com/jp/estadisticas.html

>>358
毎年増えてんのに何言ってんだっつーことだろ。
slammerやblasterやsasserほどの攻撃は無い。

カスペからの返事
>>350(>>352,353,355) tane0482
127+（4+2）=133/151,残18
hardwarefactories.cn \ Install-fdbd_02013-1.exe 　　-　　 Trojan.Win32.FraudPack.pts,
hardwarefactories.cn \ personalsafescanner.com.htm 　　-　　 Trojan-Downloader.JS.Agent.eig
redbool.cn \index.php　　-　　 Trojan-Downloader.JS.Agent.eif


New malicious software was found in these files.

>>357
スルー 検体提出しました。
ただ、
2009/07/29 22:59:44 Detected virus Email-Worm.Win32.Bagle.gen 　　　tane0483.zip

ttp://a.imagehost.org/0247/1_21.jpg
アホかｗ

>>350
Panda、GDATA2010（＝avast!＆BitDefender）、ESETへ提出完了

>>357
Symantec、GDATA2010（＝avast!＆BitDefender）、ESETへ提出完了

八頭はここ出入禁止にした方がいいんじゃないか？

1位のG Dataと7位のKasperskyを比べると、検出率は2%異なるわけだが、検出数で言うと、
約2万件のウイルスが検出できないということになるからだ。
なお、全体的には、最近の傾向としては検出率があがっている。こういった各社の取り組みは、ユーザーとしては歓迎だ。

AV-TESTによるウイルス検出率テスト
（2009年7月24日実施、検体数801,117）

順位　プログラム　検出数　 検出率
#1 G Data 800,772 99.96%
#2 McAfee 799,405 99.79%
#3 Symantec 798,440 99.67%

#4 F-Secure 792,913 98.98%
#5 Trend Micro 789,436 98.54%
#6 Microsoft　 785,059 98.00%

#7 Kaspersky 782,799 97.71%
#8 Eset Nod32 782,023 97.62%

#9 K7 Computing 711,529 88.82%
#10 Rising 581,847 72.63%

カスペからの返事

>>350(>>352,353,355,362) tane0482
127+（4+2）=133/151, 白3, 残15

config.bin - No malicious code were found in these files.
(3ファイルあったかと思ったが、二つは同一ファイル。両方白判定）

>>357 tane0483
0+事後検知1=1/1

CodecWMV-3.5.exe - Trojan.Win32.Buzus.bqvc

New malicious software was found in this file.


>>238(>>282) tane0462
6+1=7/8, 残1(GVmp.htm)

Trojan_174.133.73.90 \ ms.bin - Trojan.Win32.Agent.csfy

寝る

カスペ 検知状況 10:04

>>350(>>352,353,355,362,367) tane0482
127+（6+2）=135/151, 白3, 残13

Trojan-Downloader.JS.Iframe.bms　　　 \sujetline.ru\sceneric.html
Trojan.Win32.FraudPack.pth 　　　\trustshields.cn\Setup_build8_102.exe

>>325（326,28） tane0477
0/1、白1で閉鎖

RegistryWinner_Setup.exe　　　-　　　No malicious code was found in this file.

見慌ていたけれど、投げてみた。
VTでも検出しているベンダーがないね。

カスペ10：34 検知状況
>>350(>>352,353,355,362,367,368) tane0482
127+(8+3)=138、白3、残10

Trojan-Banker.Win32.Banker.alif　　　\196.15.183.180\Atualizacao_Seguranca_BB.scr
Trojan-Downloader.JS.Iframe.bmu　　　\varrugilanto-2.com\index.php
Exploit.Win32.Pidief.bfy　　　\varrugilanto-2.com\pageDe.pdf

一応、未回答のものをフォローしてみようかな。

>>369
カスペの結果です。

>>357
29(水) にMcAfeeに送ったのですがAVERTからの自動受信確認メールが送られてきません
30（木）再度McAfeeに送ったのですがAVERTからの自動受信確認メールが送られてきません

2009.07.31 09:59:46 (UTC)時点の対応状況
ttp://www.virustotal.com/jp/analisis/160104dd92341d275059f2893103a97bbf711c5cf7b27341924954f6b6011e70-1249034386

カスペからの返事
>>350(>>352,353,355,362,367,368,370) tane0482
127+(11+1)=138/151、白3, 残12

cxim-way.cnフォルダ
flash.swf - Exploit.SWF.Agent.bv,
readme.pdf_ - Exploit.Win32.Pidief.bgd (←HEUR:Exploit.Script.Generic）

New malicious software was found in these files.

カスペからの返事
>>350(>>352,353,355,362,367,368,370,372) tane0482
127+12=139/151、白3+3=6, 残6

trustshields.cn　　\　　22a9b22.....js,
trustshields.cn　　\　　VodCjaWFgaJZsm...htm,
suppliestubes.com　　　\　　　xplay.php

No malicious code were found in these files.

他社検出状況から、実質的にほぼクローズかな

カスペからの返事
>>350(>>352,353,355,362,367,368,370,372,373） tane0482
127+（12+1）1=140/151、白6+4=10, 残1

systemsecuritycenter.comフォルダ

config.js_, flist.js_, jquery-init.js_, jquery.js_ 　　-　　 No malicious code were found in these files.

systemsecuritycenter.com.htm_　　 -　　 Trojan.JS.Fraud.b

New malicious software was found in this file.

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=484
　DL virus／解凍 virus

【中身】　11個，MDL 2009/07/29-30日分で、RFIを除いて確保できた分（重複除く）
210.208.59.24
　　Correcoes_bb.scr - ttp://www.virustotal.com/jp/analisis/98ea2f97c39965a064b813254ba330028e51594490783e87601d31a0e7937261-1249219567 (13/41)
cbbugltjud.com
　　iejwn.exe - ttp://www.virustotal.com/jp/analisis/1803bca1ce2f4480746eeb6f6fca22623c226d14e92185f5caf529189656f2e4-1249221555 (12/41)
esli.tw
　　pdf.pdf - ttp://www.virustotal.com/jp/analisis/73e66986db0b9da81aaa3e2d3ad615ec6d1e3ae6fe1b11d76ef63e4f67f91cbb-1249219280 (11/14)
homeav2010.com
　　Installer2.exe - ttp://www.virustotal.com/jp/analisis/cb29d32d9a29bf02790744e68a3746bcb3163b5620bafc8a971b27159238ecde-1249223648 (18/40)
software-updatesv6.com
　　Driver.exe - ttp://www.virustotal.com/jp/analisis/d13dea76aaf00538ac2034cec7a993b7e007e207527475d5799d1ff485fc4ea5-1249221665 (2/41)
wertabulionsedaf.com
　　Installer.exe - ttp://www.virustotal.com/jp/analisis/ec21e39cbe13f5d0be96480b91d1cbf6aa0e28f5e7e750ea50870168a8da4ce5-1249223972 (18/40)
zenitchampion.cn
　　302.pdf - ttp://www.virustotal.com/jp/analisis/b734b82c8d21bbea4c25f855a4dc87c303b9840649c78cb3b8d6327eeda972c9-1249222264 (12/41)
　　vop.png - ttp://www.virustotal.com/jp/analisis/4d3da67b6ccb56a2c1d9d5db0ba576a6b19bb89625ee9f29137ad6e64c286e28-1249222423 (6/41)
　　uzp.exe - ttp://www.virustotal.com/jp/analisis/5862cf9b08614d043555d56aa839336a00fd2f39674e71e942501975edba4480-1249222690 (7/41)
　　5c30eea3-1c1a49d1 - ttp://www.virustotal.com/jp/analisis/21f413dba05b736a7471c2893ad988353d77362a1762c68cce6fd4066d47df84-1249222947 (1/41)
　　222f7497-40dc7512 - ttp://www.virustotal.com/jp/analisis/bb49c3c36e871d00332c07f9742889c4e40adb0565aa773ac248ae8234d4177a-1249223213 (1/40)

最後の2個は、MDLのメモだと、JAVAの脆弱性攻撃らしい。（JAVA Scriptではなく）

>>375
AVIRA 7.01.05.57　黒7/11，未検出分 提出済み

【検出】
210.208.59.24
　　Correcoes_bb.scr - TR/Crypt.XPACK.Gen
cbbugltjud.com
　　iejwn.exe - TR/Drago.11264
esli.tw
　　pdf.pdf - HTML/Malicious.PDF.Gen
homeav2010.com
　　Installer2.exe - TR/Dldr.FraudLo.sxm
wertabulionsedaf.com
　　Installer.exe - TR/Dldr.FraudLo.sxm
zenitchampion.cn
　　302.pdf - HTML/Malicious.PDF
　　vop.png - HTML/Silly.Gen

【未検出】
software-updatesv6.com
　　Driver.exe -
zenitchampion.cn
　　uzp.exe -
　　5c30eea3-1c1a49d1 -
　　222f7497-40dc7512 -

>>375
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）、ESETへ提出完了

>>375
Kaspersky2009 2009/08/02 22:34:00 黒 0，HEUR 2，全部提出。

【HEUR】
zenitchampion.cn
　　302.pdf - HEUR:Exploit.Script.Generic
　　vop.png - HEUR:Exploit.Script.Generic

【未検出】
210.208.59.24
　　Correcoes_bb.scr -
cbbugltjud.com
　　iejwn.exe -
esli.tw
　　pdf.pdf -
homeav2010.com
　　Installer2.exe -
software-updatesv6.com
　　Driver.exe -
wertabulionsedaf.com
　　Installer.exe -
zenitchampion.cn
　　uzp.exe -
　　5c30eea3-1c1a49d1 -
　　222f7497-40dc7512 -

Kasperskyは、私の提出分は、最近はほとんどが無視されるので、できれば他の人も出して下さい。m(_ _)m
# たまに反応あるんだけど、ほとんどの提出に対して返答も無いし、提出後2〜3日してもデータベースに反映されない...orz

>>378
Kasperskyへの代理提出しときましたよ

>>379
ありがトン。　私も出したけど、私が送った分は、何故か対応が望み薄なんで。

# Kasperskyの方で何かフィルタリングされてるとしか思えねぇ...（苦笑

>>375
>最後の2個は、MDLのメモだと、JAVAの脆弱性攻撃らしい。（JAVA Scriptではなく）

VT見て気がついたんだけど、>375の最後の2個、MACの方のヤツっぽい。（≠Windows?）

> TrID : File type identification
> Java Bytecode (60.0%)
> Mac OS X Universal Binary executable (40.0%)

だとすると、MACの製品出してないベンダーは、白判定するかもしれません。（というか、その可能性 大かと...）

ここまでSymantecとa-squaredとMalwarebytesに提出しました

ttp://welcomepasosure.hp.infoseek.co.jp/all.zip

>>2・提出した際は必ずその旨記載してね。
が守られていないと思う。


カスペは多重提出していう人がいそう。黙って送って、返事も書かないいない人がいそう。
現行システムでは、仮に10人が送ったら、１人にしか返事がいかないからね。


>>2・提出した際は必ずその旨記載してね。

の遵守はお願いしたい。

>>383
アップローダによろ。

>>384
× カスペは多重提出していう人がいそう。黙って送って、返事も書かないいない人がいそう。
○ カスペは多重提出している人が多そう。このスレに書かずに黙ってKLに送って、検出結果も書かない人がいそう。

タイプミス。寝る。ｗ

>>357
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
codecwmv-3.5.exe |inconclusive | | |no

>>375
McAfee (Active Protection 無効)1/11
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
222f7497-40dc7512 |inconclusive | | |no
302.pdf |inconclusive | | |no
5c30eea3-1c1a49d1 |inconclusive | | |no
correcoes_bb.scr |inconclusive | | |no
driver.exe |inconclusive | | |no
iejwn.exe |inconclusive | | |no
install.exe |inconclusive | | |no
installer2.exe |inconclusive | | |no
uzp.exe |inconclusive | | |no
vop.png |inconclusive | | |no

>>383
殆どのベンダーは検出してるけどジョークプログラムか・・・・

ttp://www.virustotal.com/analisis/3c13e6169994f9e5eab10642200b5e91457b93676c73e1695caee530623d4f0b-1249260597

>>387
Not found !

>>383
http://www.virustotal.com/jp/analisis/f0c69cf5b7f8e5378cc947f906c2b89022adeb1cf0b6c02312947648459cd55b-1249280280

>>385
ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=486
infected
ttp://www.virustotal.com/jp/analisis/3c13e6169994f9e5eab10642200b5e91457b93676c73e1695caee530623d4f0b-1245695722

>>388
現在の状態： 発見せず

ジョークソフトなのか
どうでも良さそうだが

>>376
AVIRA返答 黒+2，あと2個は、まだ解析中

zenitchampion.cn
　●uzp.exe - TR/Drop.Preald.A.28
　●222f7497-40dc7512 - EXP.Gornial.5229

MacのExploitっぽいの、やっぱり普段あんまり見ない検出名ですね。

>>378
Kaspersky返答来た。黒 7，白 3，破損 1でclose.

210.208.59.24
　●Correcoes_bb.scr - Trojan-Banker.Win32.Banbra.mrt
cbbugltjud.com
　●iejwn.exe - Trojan.Win32.Agent.cssx
esli.tw
　●pdf.pdf - Exploit.Win32.Pidief.bgr
homeav2010.com
　●Installer2.exe - Trojan-Downloader.Win32.FraudLoad.fdl
software-updatesv6.com
　△Driver.exe - ファイルが壊れている。
wertabulionsedaf.com
　●Installer.exe - Trojan-Downloader.Win32.FraudLoad.fdl
zenitchampion.cn
　●302.pdf - Exploit.JS.Pdfka.pg （HEUR:Exploit.Script.Generic）
　○vop.png - 白（HEUR:Exploit.Script.Generic）
　●uzp.exe -　Trojan-Dropper.Win32.Preald.a
　○5c30eea3-1c1a49d1 - 白
　○222f7497-40dc7512 - 白

Kasperskyは、最後の2個は白判定。

>>391
書き込み遅れたけど、AVIRA返答。

software-updatesv6.com
　△Driver.exe - ファイルが壊れている。
zenitchampion.cn
　●5c30eea3-1c1a49d1 - TR/Agent.5234

AVIRAは最後の2個、黒でした。

>>375
ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=487
　DL virus／解凍 virus

【中身】　Driver.exeを再度Download ･･･>375の、ダウンロード失敗だった模様。ｺﾞﾒﾝﾅｻｲ
Driver.exe
　ttp://www.virustotal.com/jp/analisis/f09687ad5ff9a70cb691ef67427f8b3e1c3c6aefb8ea2626e100598274020dbd-1249567356 (10/41)
NetFilter.exe - Driver.exeの中に含まれるMalware
　ttp://www.virustotal.com/jp/analisis/ef2843f0911b4354d76fcb091f18cad4022d9af2b3a12da7845870d48c067171-1249567509 (8/41)

AVIRA 7.01.05.79 黒2/2
　●Driver.exe - TR/Drop.Liften.AC
　●NetFilter.exe - TR/Liften.A.2

Kasperskyは出したら白判定の返答...orz　誰か再提出した方が良いかも。

>>394

Symantec、GDATA2010（＝avast!＆BitDefender）、ESET、TrendMicroへ提出

>>394
Kasperskyにも提出しときましたよ

>>394
Kasperskyから返事が来たけど私側でも白判定のようです・・・

Driver.exe,
NetFilter.exe

No malicious code were found in these files.

>>375
ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=488
　DL virus／解凍 virus

【中身】　26個。MalwareDomainListの2009/08/03分とその他少し。新旧ごちゃ混ぜで検出35/41以上のも入ってますから注意。
122.70.145.140
　　files.exe - ttp://www.virustotal.com/analisis/26a9f7f666d3fc8f58c9fa7217caea85afaac8cd9c140494669fcdd2d3bf6293-1249825438 (33/41)
130.209.233.202
　　Copycard.gif.exe - ttp://www.virustotal.com/analisis/7a9e03506317bb54688cc1e0051ea1c1d7162dbef671d7937a1e3f317b6e2d04-1249825596 (35/39)
202.62.224.16
　　wmkl.exe - ttp://www.virustotal.com/analisis/63249913c71d210b304c84159900f95a7d2ef79cc38fd949e08fee9d6fa34ccd-1249824052 (19/41)
212.117.174.14
　　installnew6.exe - ttp://www.virustotal.com/analisis/fe6997d1ebc72e5ebf60a88a92524d146d66eef2b76afeccd2948cfef93ac2bc-1249825985 (30/41)
　　racing.exe - ttp://www.virustotal.com/analisis/415c1520662f4bc3291816d6af4469f89df6f0966ac9bdb6f8a1999b27db9953-1249826134 (35/41)
4sx2.cn
　　install.exe - ttp://www.virustotal.com/analisis/fae592289da1c4e415fa31eaa9a48483eb29a6a9bd8eca90727b7cb8906bf7eb-1249826389 (36/41)
800810down.cn
　　winshou.exe - ttp://www.virustotal.com/analisis/07ca28f14959ee9055e4488d89f54b56b9bfabac16afe3ed771923f2946716c8-1249826496 (35/41)
　　winwps.exe - ttp://www.virustotal.com/analisis/c9ec67a55aecc8cc088d2d736acafe72d9cdf7f7cb5dba5b0bb527aebb4cefcf-1249826642 (34/41)
　　winyy.exe - ttp://www.virustotal.com/analisis/17adf345eccd7790d50098a686d36c1f32c32a06430275e88b5759146a02f4c1-1249828746 (32/41)
b35.info
　　logo.jpg - ttp://www.virustotal.com/analisis/d83b78b600317c98819dba9d6c954db847f2ec22aebff9c5aca4f29e6882bc57-1249829321 (9/37)
　　logo.pdf - ttp://www.virustotal.com/analisis/108a11d5bcb80734fcba470f00496e9d814666d937e07d68e43f991b4e2abbbe-1249829642 (20/41)
　　who.exe - ttp://www.virustotal.com/analisis/b966299d23951ef582fa9051e9bfe2f1c47a916bf899b5f8f055f2281d5a365c-1249829837 (32/35)

>>397 続き
bt9.5qzone.net
　　030.exe - ttp://www.virustotal.com/analisis/b0896af1c6aa93e16a9a885ed32e2c4b5469c24ae9f466d9635377084beaac3d-1249830205 (38/41)
　　1313.exe - ttp://www.virustotal.com/analisis/c08f01aeaf582125d682449bd891a72f347d43a18d6c56fceb4b9e440020aac9-1249830329 (27/41)
　　468534.exe - ttp://www.virustotal.com/analisis/e488e5aad5c3f10bc689038124ba529fd13aaae04a95d4e98ff96cf3fdcfb89a-1249830461 (34/41)
ccmguyldmn.com
　　mvfstk.exe - ttp://www.virustotal.com/analisis/ee61c1d2d8e91afb70e2fe4fee323c767290d06dd76fa3b80bd691eb3d08b2e0-1249830600 (32/41)
collabraware.com
　　DSC_9525.exe - ttp://www.virustotal.com/analisis/03eaad1a93850078320a5378d095bf4ad6b3c91e01efcba33c18a551a7bd07af-1249830787 (2/41)
core2623.racingmoney-0110.com
　　PC_protect.exe - ttp://www.virustotal.com/analisis/828835fb4b8ecc5064a0f6496ba160d37a32022dee7f82a0c8b275d312620b15-1249830974 (24/40)
cyswlj.b121.53dns.com
　　winlogon.exe - ttp://www.virustotal.com/analisis/082062293cd806986b4f9fe296a8e34e1ebb7b0239c1575f0eade9ab90bcada2-1249824931 (6/41)
down1.36936.net
　　setup1008.ocx - ttp://www.virustotal.com/analisis/163fcf2b019fa84a20d7fe3b7863fbaa1ab389b16a74598ee6a890cae719a84e-1249823874 (15/41)
sa3sa.com
　　a7beek.swf.exe - ttp://www.virustotal.com/analisis/fe4e13e604cc5f21a9ff57660fbfd74d2d7696e9a392112a5fef255876a1aa25-1249824202 (18/41)
securedbizcenter1.cn
　　file.exe - ttp://www.virustotal.com/analisis/3f603275ea10a445e1a182d98e2ccd82aa4b4979a97427b2c46d0f133188173f-1249831353 (23/40)

>>397さん乙
Symantecとa-squaredとMalwarebytesに提出しました

>>398 続き
seriall.com
　　Virut_CE-1.exe - ttp://www.virustotal.com/analisis/083889764b89e320bb0df426581ca6b722d572ea0f096de73ac55e9aeb4a7dba-1249824795 (29/41)
　　Virut_CE-2.exe - ttp://www.virustotal.com/analisis/c003e0551cf5ef0efb1fae82060315d20ab4739d6017936f0cab076463ef84ea-1249824955 (31/41)
　　Virut_CE-3.exe - ttp://www.virustotal.com/analisis/ff4e29660ad3f6a75fdeeb441510863652be354b2083bb0a5201ab4fb0d247c8-1249825074 (17/41)
x.52av.biz
　　1.exe - ttp://www.virustotal.com/analisis/2cf6dc4f143d993e3353d76a85ab57b759977cba035071b8f1ff7bb311fee5e2-1249831711 (37/41)

>397が>395へのレスになっているのは消し忘れです。ｷﾆｼﾅｲﾃﾞｸﾀﾞｻｲ


AVIRA9 7.01.05.85 （黒 24＋HEUR 2＋未検出 0）/26，HEUR 提出済み。

【HEUR】
collabraware.com
　　DSC_9525.exe - HEUR/Malware
cyswlj.b121.53dns.com
　　winlogon.exe - HEUR/Malware

数が多いので、黒の分は書きません。m(_ _)m

>>395-396
ありがトン。　しばらくして、VTでの検出数が多くなったら、再提出してみます。

>>397
Kaspersky2009 - 2009/08/09 23:52:00　（黒 20＋未検出 6）/26，未検出分 提出済。

【未検出】
b35.info
　　logo.jpg -
ccmguyldmn.com
　　mvfstk.exe -
collabraware.com
　　DSC_9525.exe -
cyswlj.b121.53dns.com
　　winlogon.exe -
down1.36936.net
　　setup1008.ocx -
seriall.com
　　Virut_CE-3.exe -

>>397
McAfeeに検出できない4ファイルを提出


Logo.jpg
DSC_9525.exe
Virut_CE-1.exe
Virus_CE-2.exe

AVERT自動送信
Current DAT Version:5704.0000
Thank you for your submission.

Analysis ID: 5452750

File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
dsc_9525.exe |inconclusive | | |no
logo.jpg |inconclusive | | |no
virut_ce-1.exe |inconclusive | | |no
virut_ce-2.exe |inconclusive | | |no

inconclusive [dsc_9525.exe logo.jpg virut_ce-1.exe virut_ce-2.exe]

Upon analysis the file submitted does not appear to contain one of the 200,000 known
threats in the AutoImmune database. The file may contain a new threat, or no code
capable of being infected. Your submission is being forwarded to an Avert Labs
Researcher for further analysis. You will be contacted by AVERT through e-mail with
the results of that analysis.

ttp://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=489
virus
FF11のフィッシングサイトから取得。

>>404
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）、ESET、Kasperskyへ提出完了

Aviraは検出するので提出しません

>>404
McAfee (Active Protection 無効)0/2
McAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
dropper1.exe |inconclusive | | |no
flasha32.dll |inconclusive | | |no

>>401
何か、突然 Driver.exeと NetFilter.exeを HEUR:Trojan.Win32.Generic として検出するようになったので、
Kasperskyに隔離ファイルとして再送してみました。　黒に再判定となるかな...?

>>402
seriall.com
　●Virut_CE-3.exe - Trojan.Win32.Inject.ahny

返答無いけど検出可になりました。

HEUR:Trojan.Win32.GenericとHEUR:Trojan.Win32.Invader検出は最近普通に多い。

ttp://www.kaspersky-sea.com/sea/top100/singpore/july16-23.txt
ttp://www.kaspersky-sea.com/sea/top100/singpore/july30-august06.txt

カスペ2010 13:39
>>394�d(>>395,396,401,407�d) 2/2 tane0487
virus HEUR:Trojan.Win32.Generic 　　　\tane0487\NetFilter.exe
virus HEUR:Trojan.Win32.Generic 　　　\tane0487\Driver.exe//NetFilter.exe


>>404�d (>>405�d） tane0489 2/2でクローズ
Trojan-Spy.Win32.BHO.ca 　　　tane0489\dropper1.exe
Trojan-Spy.Win32.BHO.ca 　　　tane0489\flasha32.dll

カスペ
>>397�d(>>398,401�d) tane0488
20+1=21/26

Trojan-Spy.Win32.Zbot.zzg 　　　　　　/122.70.145.140/file.exe
Backdoor.IRC.Zapchast.zwrc 　　　　　　/130.209.233.202/Copycard.gif.exe
Trojan.Win32.Delf.nzp 　　　　　　/202.62.224.16/wmkl.exe
Packed.Win32.Krap.r 　　　　　　/212.117.174.14/installnew6.exe
Trojan-Downloader.Win32.Agent.ckun 　　　　　　/212.117.174.14/racing.exe
Trojan-Downloader.Win32.FraudLoad.wmlz 　　　　　　/4sx2.cn/install.exe
Trojan-Dropper.Win32.Agent.ayox 　　　　　　/800810down.cn/winshou.exe
Trojan-Downloader.Win32.Esplor.ce 　　　　　　/800810*/winwps.exe
adware not-a-virus:AdWare.Win32.Cinmus.awgx 　　　　　　/800810*/winyy.exe
Exploit.Win32.Pidief.azw 　　　　　　/b35.info/logo.pdf
Trojan-GameThief.Win32.Agent.ci 　　　　　　/b35.info/who.exe
Backdoor.Win32.Delf.qbe 　　　　　　/bt9.5qzone.net/030.exe
Trojan-Downloader.Win32.VB.psl 　　　　　　/bt9.*/1313.exe
Trojan.Win32.Pasta.aoq 　　　　　　/bt9.*/468534.exe
not-a-virus:FraudTool.Win32.AntiVirusPro.ng 　　　　　　/core2623.racing*/PC_protect.exe
Backdoor.Win32.Poison.alyb 　　　　　　/sa3sa.com/a7beek.swf.exe/logo.exe
Trojan.Win32.FraudPack.pwo 　　　　　　/securedbizcenter1.cn/file.exe
Detected virus Virus.Win32.Virut.ce 　　　　　　/seriall.com/Virut_CE-1.exe、　　　Virut_CE-2.exe
Trojan.Win32.Inject.ahny 　　　　　　/seriall.com/Virut_CE-3.exe
Backdoor.Win32.Delf.qes 　　　　　　/x.52av.biz/1.exe

カスペからの返事
>>397(>>398,401,410) tane0488
20+事後(1+1)=22/26、白1、回答待ち3

b35.info \ logo.jpg_ 　　　-　　　 Trojan-Downloader.JS.Iframe.bod
ccmguyldmn.com \ mvfstk.exe　　　 　　　-No malicious code was found in this file.

カスペからの返事
>>397(>>398,401,410,411) tane0488
20+事後(2+2)=24/26、白1、回答待ち1(DSC_9525.exe)

down1.36936.net \ setup1008.ocx 　　-　　 Trojan-Dropper.Win32.Agent.azql
cyswlj.b121.53dns.com \ winlogon.exe_ 　　-　　 Trojan-Dropper.Win32.Agent.azqh

New malicious software was found in this file.

>>400
AVIRA
collabraware.com
　●DSC_9525.exe - TR/Spy.Agen.2073088
cyswlj.b121.53dns.com
　●winlogon.exe - TR/Killav.DK.6

HEURの両方とも、黒確定。で、黒（24+事後2)/26でclose。

>>407
Kaspersky返答は、HEURの提出でも2個とも白判定でした。（でも、現時点でもHEURで検出するけど）

>>408
いや、>407は、>394の時点ではHEUR検出しなかったのに、>407の時点でHEUR検出するようになった、ということで。

Kasperskyも、HEUR用のエンジンかパターンかは不明ですが、同じ8.0.0.454（a,d,e,g）のままでも、少しずつ改良されて
HEUR検出率が上がっている感じです。

# この辺、AVIRAは提出した後、必要に応じて検出エンジン・パターンの改良を行う時は判定結果のメールに
　明記されるので、わかりやすいです。（検出の.Gen系は、割と多く改良されている。AVIRAの.Gen系
　検出が多いのは、多分そのためかと...AVIRA、汎用検出パターン作るの好きっぽいし）


ちなみに、HEURのファイルはAVIRAもKasperskyも提出すると、黒の場合は必ず検出名が割り当てられるので
HEURが多いということは、新種がそれだけ増えている証拠でもあります。orz

>>413
乙です

＞ちなみに、HEURのファイルはAVIRAもKasperskyも提出すると、黒の場合は必ず検出名が割り当てられるので

私も特定ベンダーに提出してますがPandaもSuspiciousfileで検出したものを提出したらシグネチャ化してくれることが多いですね
Pandaの隔離フォルダは基本的にヒューリスティック検出しか隔離できないですがシグネチャ化したらしっかりと表記してくれるからわかりやすい
あとはクラウド検出のTrj/CI:AやGeneric系も後々別の検出名になることがある（ただしこれらはたまにという感じ）

Symantecの場合はヒューリスティック→シグネチャというのは極まれ、たまにあるけどまずないと思った方がいい
ただ提出した後にPacked.Generic系のヒューリスティック検出が結構あった

ESETやBitDefenderもSymantecと同じくヒューリスティック→シグネチャというのはほとんどない、というかBitDefenderの場合は検体提出時のウイルス対応速度が遅すぎるという問題が・・・・

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=490
　DL virus／解凍 virus

【中身】　19個。MalwareDomainListの2009/08/07〜08分と、おまけ1個。取りに行くの遅くなったので、検出率高めにつき注意。
122.70.145.135
　　prad.exe - ttp://www.virustotal.com/analisis/0ff8adaf759b155501a3fff1ddd8d76ccc7a33d630df59f306e32f9484b10aee-1250042454 (6/41)
213.163.91.244
　　x01.exe - ttp://www.virustotal.com/analisis/9b0d85e018e0137dde21a6b386d91b4ecbd7676c7269c5ef7b4388c846265ceb-1250042172 (24/41)
bezobizn.ru
　　pdf.php - ttp://www.virustotal.com/analisis/758c0332f700399a098caaa13e9ed39fd5f2f99e7c1017a0b91d225f1a0c483f-1250046363 (21/41)
　　ret.exe - ttp://www.virustotal.com/analisis/68e28651b537d45ccfe4386a9a357d9cf30b9a02c5cfa11296f5375a2e76cd81-1250046617 (20/41)
buteralksaweda.com
　　Install.exe - ttp://www.virustotal.com/analisis/6cce0d2118233bbd4425e653a673c5e4e8721bd2c1e5e2037a020f453ef080dd-1250044240 (24/41)
ff11.sdo.ac
　　complaint.exe - ttp://www.virustotal.com/analisis/c36ed85029d822113fa76b1fb5900c5ae73781e4ae222efb419332ec50b78b9d-1250047310 (21/41)
foxbelive.ru
　　test.pdf - ttp://www.virustotal.com/analisis/b3766c33160354423aa8eb4176f135e9523bc068fc9083f2abde16566a9a43da-1250046914 (24/41)
foxxpriv.ru
　　test.pdf - ttp://www.virustotal.com/analisis/0fe03ecfd03245dc0ac8f94d568073c93487743f5ca276d9041a6b925581f0f3-1250047046 (25/41)

>415 続き

igooddeal.com/load.php?a=a&e=11
　　file.exe - ttp://www.virustotal.com/analisis/36fa9c697ff8e9d135ea492faa4e9bc028c8a1c69ab230234fd382db709c07fc-1250042697 (5/40)
　　Chrome.pdf - ttp://www.virustotal.com/analisis/3108c216aa6768f2f0b3afb9f4950970d5f8b6b6ba7f444a590aff8915a261d1-1250043320 (5/41)
　　Firefox.pdf - ttp://www.virustotal.com/analisis/b916644fa87b8d07ddfa45b598fe931d9b44d83e5cce95514e0c8e2d6f0dcf1a-1250043533 (5/41)
　　IE.pdf - ttp://www.virustotal.com/analisis/edc64919b692389aff2be65bb27efe864b8bf365607604d29cd2eedd3a467987-1250043608 (5/41)
　　OPERA.pdf - ttp://www.virustotal.com/analisis/890fe888b2dec8cc1f60e8a216184e5c98059cf7c521cdb44130d3b0174c130c-1250043755 (5/41)
njsdjl4bdjsa7t78dsf.com
　　money.exe - ttp://www.virustotal.com/analisis/edeeae97425125494e9cadb9242268ed72c735b46743c9a9a34b4b55da71d85f-1250041927 (23/40)
opaserduchiosa.com
　　Install.exe - ttp://www.virustotal.com/analisis/5d7ae64a46c530a429bc1ec072ec85da54e53e2330e389b7cc51761f94b1792e-1250044712 (23/41)
p-c-anti-spyware-2010.com
　　Installer2.exe - ttp://www.virustotal.com/analisis/f5fb689427e3f72e140e396384fc382dd64ff95e14d6ff0aa77b5c72459c6b00-1250045279 (24/41)
thetruesecurityscan.com
　　index.php - ttp://www.virustotal.com/analisis/b00898a574a8831c9c6d40140ba9a6db59262416fc9c14dd9599239c992c9769-1250041510 (20/40)
　　install.exe - ttp://www.virustotal.com/analisis/2d7a11ce50abbb386dc1f01b059f13483e944a0ee2b18229a2d1f6d4a7ba923e-1250041773 (16/41)
www.ihateyoujess.com
　　ldr.exe - ttp://www.virustotal.com/analisis/2e9d639ad295e2ed78dc4fd8205b1fe585bfae2b08d168a4c3031626fbec691b-1250047185 (34/41)

>>415
AVIRA 7.01.05.100 （黒 14＋HEUR 0＋未検出 5）/19，未検出分 提出済み。

【検出】
213.163.91.244
　　x01.exe - TR/Crypt.ZPACK.Gen
bezobizn.ru
　　pdf.php - HTML/Malicious.PDF.Gen
　　ret.exe - SPR/Tool.Obfuscator.FL.92
buteralksaweda.com
　　Install.exe - TR/Dldr.FraudLo.sxm
ff11.sdo.ac
　　complaint.exe - TR/PSW.Jomloon.E.4
foxbelive.ru
　　test.pdf - EXP/Pidief.JC.2
foxxpriv.ru
　　test.pdf - EXP/Pidief.JC.2
njsdjl4bdjsa7t78dsf.com
　　money.exe - TR/Banker.Bancos.fat
opaserduchiosa.com
　　Install.exe - TR/Dldr.FraudLo.sxm
p-c-anti-spyware-2010.com
　　Installer2.exe - TR/Dldr.FraudLo.sxm
thetruesecurityscan.com
　　index.php - JS/FakeAlert.7141
　　install.exe - TR/Dropper.Gen
www.ihateyoujess.com
　　ldr.exe - TR/Crypt.ZPACK.Gen

>417 続き，AVIRA未検出分

【未検出】
122.70.145.135
　　prad.exe -
igooddeal.com
　　file.exe -
　　Chrome.pdf -
　　Firefox.pdf -
　　IE.pdf -
　　OPERA.pdf -

あと、>>416の igood〜の所、間違ってアドレス消し忘れているので注意願います。m(_ _)m

※ 踏むと危険です。　Jane系はリンクにならないはずですが、他の専ブラがちょっと不明。

>>415
Kaspersky2009 2009/08/12 12:21:00　（黒 9＋HEUR 1＋未検出 9）/19，HEURと未検出分 提出済み。

【検出】
213.163.91.244
　　x01.exe - Trojan-Banker.Win32.Bancos.evy
bezobizn.ru
　　pdf.php - Exploit.Win32.Pidief.bgr
ff11.sdo.ac
　　complaint.exe - Trojan-Spy.Win32.BHO.ca
foxbelive.ru
　　test.pdf - Exploit.Win32.Pidief.afw
foxxpriv.ru
　　test.pdf - Exploit.Win32.Pidief.bbb
igooddeal.com
　　file.exe - Trojan-Spy.Win32.Zbot.aacm
njsdjl4bdjsa7t78dsf.com
　　money.exe - Trojan-Banker.Win32.Bancos.fat
thetruesecurityscan.com
　　index.php - Trojan-Downloader.JS.FraudLoad.d
www.ihateyoujess.com
　　ldr.exe - Trojan-Spy.Win32.Zbot.gen

【HEUR】
122.70.145.135
　　prad.exe - HEUR:Trojan.Win32.Generic

>419 続き，Kaspersky未検出分

【未検出】
bezobizn.ru
　　ret.exe -
buteralksaweda.com
　　Install.exe -
igooddeal.com
　　Chrome.pdf -
　　Firefox.pdf -
　　IE.pdf -
　　OPERA.pdf -
opaserduchiosa.com
　　Install.exe -
p-c-anti-spyware-2010.com
　　Installer2.exe -
thetruesecurityscan.com
　　install.exe -

>>417
ff11.sdo.acは >>404 です。

>>421
ありゃりゃ、重複したか...申し訳ない。

>>415さん乙
Symantecとa-squaredとMalwarebytesに提出しました

>>418
AVIRA返答

122.70.145.135
　●prad.exe - TR/Drop.Spy.Zbot.JF

>>419
Kaspersky返答

122.70.145.135
　●prad.exe - Trojan-Spy.Win32.Zbot.aadi　（HEUR:Trojan.Win32.Generic）

どちらも黒判定。

>>418
AVIRA返答

igooddeal.com
　●file.exe - TR/Spy.ZBot.aacm
　●Chrome.pdf - EXP/Pidief.gya
　●Firefox.pdf - EXP/Pidief.gyd
　●IE.pdf - EXP/Pidief.gyc
　●OPERA.pdf - EXP/Pidief.gyb

>424とあわせて、>415は　（黒13＋事後6）/19の全黒でclose.

※ >417は、カウント間違いでした。
　　× AVIRA 7.01.05.100 （黒 14＋HEUR 0＋未検出 5）/19
　　○ AVIRA 7.01.05.100 （黒 13＋HEUR 0＋未検出 6）/19

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=491
　DL virus／解凍 virus

【中身】　8個。MalwareDomainListの2009/08/09分 その1。サイズが大きくなったので一部先行。

>>426
ぬお、長文が書き込めなくなった...何かの規制を受けてる。orz

AVIRA 7.01.05.101 （黒 7＋HEUR 0＋未検出 1）/8，未検出分 提出済み。

【未検出】
best-antivirus-security.com
　　install.exe -

http://tane.sakuratan.com/upload/upload.cgi?mode=dl&file=492
Pass infected 解凍の際も同じ

新種スパイウェアと思われる

>>415
McAfee (Active Protection 無効)10/19
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
chrome.pdf |inconclusive | | |no
complaint.exe |heuristic detection |new malware.j |Trojan |no
file.exe |inconclusive | | |no
firefox.pdf |inconclusive | | |no
ie.pdf |inconclusive | | |no
money.exe |inconclusive | | |no
opera.pdf |inconclusive | | |no
prad.exe |inconclusive | | |no
ret.exe |inconclusive | | |no

>>426
McAfee (Active Protection 無効)4/8
未検出分をMcAfeeに提出させて頂きました。

AVERT自動返信
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
install.exe |inconclusive | | |no
aap.exe |inconclusive | | |no
privatecontent.exe |inconclusive | | |no

尚、woptim\WOSetup に付いては返信待ち

>>428
McAfee (Active Protection 無効)0/2
McAfeeに提出させて頂きました。

AVERT自動返信
返信待ち

ドジ踏んでRock54に引っかかりました。

運営殿の話だと、数字.comのURLを何度か書き込むとRockされるらしいです。（〜○○○.comの○が数字）
# こんなんで引っかかるとは予想外...orz

なんで、マヌケな話ですがRock解除まで書き込めません。

それは仕方ないとして、私がアップしたファイルのフォルダに該当するものがいくつもありますので
検出結果を書き込む時に該当するフォルダ名を書くと、【私と同じようにRockされます】

申し訳ないのですが、私のドジの巻き添えにならないよう、十分ご注意下さい。m(_ _)m

カスペ2010 21:28
>>426 �d tane0491
8/8で閉
not-a-virus:FraudTool.Win32.AntiSpyware.lw 　　　/antispyware.com/setup.exe
not-a-virus:FraudTool.Win32.PersonalAntivirus.bl 　　　/best-antivirus-security.com/install.exe
not-a-virus:FraudTool.Win32.AntivirusAgent.f 　　　/downloads-123.com/aap.exe
not-a-virus:FraudTool.Win32.Agent.tg 　　　/getavplusnow.com/InternetExplorer.dll
not-a-virus:FraudTool.Win32.MalwareRomovalBot.e 　　　/remove-ultra-antivirus-2009.com/setup.exe
not-a-virus:FraudTool.Win32.WindOptimizer.c 　　　/woptim.com/WOSetup.exe
Trojan-Dropper.Win32.Agent.avhf 　　　/www.dabao1.cn/setup.exe
adware not-a-virus:AdWare.Win32.Cinmus.awbr 　　　/xxxruzone.com/PrivateContent.exe


>>428�d tane0492
0/2
検体提出します。


>>415�d (>>419,420�d) tane0490
10/19。当方からも再提出
Trojan-Spy.Win32.Zbot.aadi （←HEUR:Trojan.Win32.Generic） 　　　/122.70.145.135/prad.exe

>>426.428さん乙
Symantecとa-squaredとMalwarebytesに提出しました

>>430
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
wosetup.exe |inconclusive | | |no

>>431
File Name Findings Detection Type Extra
--------------------|------------------------------|----------------------------|------------|-----
activatedreleasexp.e|inconclusive | | |no
activatedsetup.exe |inconclusive | | |no

カスペからの返事
>>415 (>>419,420,433) tane0490
10+事後2=12/19、回答待ち7

bezobizn.ru \ ret.exe_ - Trojan-PSW.Win32.FireThief.f
buteralksaweda.com \ Install.exe_ - Trojan.Win32.FraudPack.qdt


New malicious software was found in this file.

>>424
AVIRA 7.01.05.104

122.70.145.135
　●prad.exe - TR/Spy.ZBot.aadi ← TR/Drop.Spy.Zbot.JFから変更

>>427
AVIRA返答

best-antivirus-security.com
　　install.exe - ファイルが壊れているので判定できない。（再提出も同じ)

>>428
AVIRA 7.01.05.104　(黒1＋事後1)/2
　●ActivatedReleaseXP.exe - TR/Crypt.XPACK.Gen
　●ActivatedSetup.exe - TR/何か.Genで検出できるようにする。（何か、は書いてない）＠事後検出

>>426
PandaとBitDefenderは容量オーバーのため提出できませんでしたorz
ただ幸いPandaは未検出が1個のみなのが助かったけど

カスペからの返事
>>415 (>>419,420,433,436) tane0490
10+事後（2+2)=14/19、残5


p-c-anti-spyware-2010.com \ Installer2.exe - Trojan.Win32.FraudPack.qdt
thetruesecurityscan.com \ install.exe_ - Trojan-Downloader.Win32.FraudLoad.ffk

New malicious software was found in this file. It's detection will be included in the next update. Thank you for your help.

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=493
　DL virus／解凍 virus

【中身】　6個。MalwareDomainListの2009/08/09分 その2。大きい物が多すぎ...orz
adwarealert
　　setup.exe - ttp://www.virustotal.com/analisis/4258ba7ebce181c2519b72f4867becda65c7c147892e00e5339aff4c97f11864-1250090814 (13/41)
antispyware2008
　　setup.exe - ttp://www.virscan.org/report/49c88317934192694ee5ed46509779de.html (13/37)
mmlang.net
　　setup.exe - ttp://www.virustotal.com/analisis/1d177fb9f9ff3e840f8ea13455c3f6fde82ed8c1163d67a41323cb9a226efb60-1250119836 (20/41)
mz22.cn
　　alexa.exe - ttp://www.virustotal.com/analisis/07693beb9aaebdd8b3223a5becc25b44c70afd73cec9e4984ffc4e89624c5e17-1250090998 (30/41)
showpromooffer
　　srm_free_setup.exe - ttp://www.virustotal.com/analisis/af072ce2b07e627e27035e85bfd0ab74ac9de16b8166ef40d4b11455ecbe1b7e-1250090414 (29/41)
setup.regsweep
　　setupxv.exe - ttp://www.virscan.org/report/17202f16046466332be562867832164a.html (6/37)

今VTが死んでるため、virscanで一部代用。

あと、>432の件があるので、.comのものはフォルダ名から.comを消しています。
（フォルダ名がドメイン名なのは、MDLから持ってくる人が私を含め複数なので、重複確保防止用）

>>440
AVIRA 7.01.05.105　（黒 5＋HEUR 0＋未検出 1）/6，未検出分 提出済み。

【検出】
antispyware2008
　　setup.exe - DR/FakeAlert.QZ
mmlang.net
　　setup.exe - DR/BaiduBar.DI.2
mz22.cn
　　alexa.exe - DR/AlexaBar.N.207
　　　→AlxRes.dll - ADSPY/AlexaBar.N.9
　　　→AlxTB1.dll - ADSPY/AlexaB.Dll.1
setup.regsweep
　　setupxv.exe - DR/Fraud.RegSweep.A
showpromooffer
　　srm_free_setup.exe - DR/Dldr.Agent.brqo.1

【未検出】
adwarealert
　　setup.exe -

>>440
Kaspersky2009 2009/08/13 10:25:00　（黒 5＋HEUR 0＋未検出 1）/6，未検出分 提出済み。

【検出】
adwarealert
　　setup.exe - not-a-virus:FraudTool.Win32.AdwareAlert.i
antispyware2008
　　setup.exe - not-a-virus:FraudTool.Win32.AntiSpyware.lw
mmlang.net
　　setup.exe - Trojan.Win32.Pasta.agb
mz22.cn
　　alexa.exe - not-a-virus:AdWare.Win32.AlexaBar.n
showpromooffer
　　srm_free_setup.exe - Virus.Win32.Goblin.gen

【未検出】
setup.regsweep
　　setupxv.exe -

>>440
Symantec、GDATA2010（＝avast!＆BitDefender）、ESETへ提出
※　Pandaは全検出だったため提出せず

Symantecから自動返答

filename: setupxv.exe
machine: Machine
result: See the developer notes

ttp://www.tane.sakuratan.com/upload/upload.cgi?mode=dl&file=494
　DL virus／解凍 virus

【中身】　13個。MalwareDomainListの2009/08/09分 その3。8/9分で確保できたのは、これで終了。
203.116.63.105
　　sta.exe - ttp://www.virustotal.com/analisis/0a3fc61e40a3cd098a5a2101230c994c886f16da17593c439a91aa6e6bf976d6-1250137687 (13/37)
ajowah.cn
　　installer_1.exe - ttp://www.virustotal.com/analisis/f7442c6da34f8cff3c77b35b073d484828204531605e6126c1d77ea24b29807b-1250138082 (12/41)
　　video.php - ttp://www.virustotal.com/analisis/d81393c2b80377fcd8ce8235d1633ef92b60b23959339b409a69002d6a7dc377-1250138334 (9/41)
cutalot.cn
　　bot.exe - ttp://www.virustotal.com/analisis/486c9604dc656beaef37d7fac4249b82040c14c47847c6c0c548620fe4e475ea-1250138751 (24/41)
downloadxxtube
　　setup.exe - ttp://www.virustotal.com/analisis/bf70b2d4b8a053d8c06bf83368493ca0ab24478bc152874b4e68d725e12758f9-1250138945 (34/41)
errorrepairtool
　　install.exe - ttp://www.virustotal.com/analisis/cfbdde792d8533b2a9ab3a516872ddaada9b5585dff3972fb85bb8bb9d95a457-1250139134 (18/39)
gobackscan
　　install.exe - ttp://www.virustotal.com/analisis/bee2378acda55aaa1813adf6bbd78af4b8ae57e70dd874c44ece5f61bfa5b466-1250139312 (8/41)
ji17.cn
　　bigfoots.exe - ttp://www.virustotal.com/analisis/ab8521cd7bf375383157f79e5b3883997b438bdc774c2d45273032e696593865-1250139753 (35/41)
regsweep
　　setup.exe - ttp://www.virustotal.com/analisis/9473af8456e39659d66449d41c85135d20019fd937f5bc2a00293f7f2380453b-1250140171 (9/41)
rondo-trips.cn
　　Antivirus-29abfcf_2010-10.exe - ttp://www.virustotal.com/analisis/4ecf4a3ddb0815bcf526ad54f34015100636bdaf8ce8b36a742727083d8a707a-1250140604 (4/41)
streamrida
　　bot.exe - ttp://www.virustotal.com/analisis/26050b02a2421d6803879e10801256a24e5fd5dc21f41767e1fc0f1bd9c1761b-1250140933 (25/41)

>>444 続き
tertechet-vings.net
　　it.exe - ttp://www.virustotal.com/analisis/f05bcd94bce5dcac85421c21e06563adda1137b794a204223ca2c7e153b2123e-1250141107 (20/41)
zzt7.cn
　　readme.pdf - ttp://www.virustotal.com/analisis/c57ae4a559fcce3e5cb569dd11b1f97330a37a777c3b0363174add14f279bf2e-1250141320 (19/41)

>>444
AVIRA 7.01.05.105　（黒 9＋HEUR 0＋未検出 4）/13，未検出分 提出済み。

【検出】
ajowah.cn
　　video.php - HTML/Rce.Gen
cutalot.cn
　　bot.exe - TR/Drop.Kryptik.ABV
downloadxxtube
　　setup.exe - TR/Dropper.Gen
errorrepairtool
　　install.exe - TR/FakeAle.MW
ji17.cn
　　bigfoots.exe - TR/ATRAPS.Gen
regsweep
　　setup.exe - DR/Fraud.RegSweep.A
streamrida
　　bot.exe - TR/Crypt.ZPACK.Gen
tertechet-vings.net
　　it.exe - TR/Banker.Bancos.fdr
zzt7.cn
　　readme.pdf - EXP/Pidief.ged.1

>>446 続き

【未検出】
203.116.63.105
　●sta.exe - TR/何とか、で検出できるようにする。（解析済み・自動返答）
ajowah.cn
　　installer_1.exe -
gobackscan
　　install.exe -
rondo-trips.cn
　　Antivirus-29abfcf_2010-10.exe -

>>444
Symantec、Panda、GDATA2010（＝avast!＆BitDefender）、ESETへ提出

Symantecから自動返答

filename: setup.exe
machine: Machine
result: See the developer notes

filename: video.php
machine: Machine
result: See the developer notes

filename: install.exe
machine: Machine
result: See the developer notes

filename: Antivirus-29abfcf_2010-10.exe
machine: Machine
result: See the developer notes

filename: installer_1.exe
machine: Machine
result: This file is detected as Suspicious.S.MrC.

Symantecの自動返答でSuspicious.S.MrCという検出名が気になったので調べてみた

ttp://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2009-062305-4021-99

最近になってこの名前がつけられた模様

>>444
Kaspersky2009 2009/08/13 14:34:00　（黒 7＋HEUR 0＋未検出 6）/13，未検出分 提出済み。

【検出】
ajowah.cn
　　installer_1.exe - Trojan-Downloader.Win32.FraudLoad.wnst
cutalot.cn
　　bot.exe - Trojan-Spy.Win32.Zbot.aace
downloadxxtube
　　setup.exe - Trojan-Downloader.Win32.FraudLoad.wnei
ji17.cn
　　bigfoots.exe - Trojan-Dropper.Win32.Agent.auch
streamrida
　　bot.exe - Trojan-Spy.Win32.Zbot.aabt
tertechet-vings.net
　　it.exe - Trojan-Banker.Win32.Bancos.fdr
zzt7.cn
　　readme.pdf - Exploit.Win32.Pidief.bdd