Proto  Local Address          Foreign Address        State           PID
 TCP    0.0.0.0:25             0.0.0.0:0              LISTENING       1512
 TCP    0.0.0.0:80             0.0.0.0:0              LISTENING       1512
 TCP    0.0.0.0:135            0.0.0.0:0              LISTENING       828
 TCP    0.0.0.0:443            0.0.0.0:0              LISTENING       1512
 TCP    0.0.0.0:445            0.0.0.0:0              LISTENING       4
 TCP    0.0.0.0:1025           0.0.0.0:0              LISTENING       1512
 TCP    127.0.0.1:1026         0.0.0.0:0              LISTENING       2040
 TCP    192.168.1.41:139       0.0.0.0:0              LISTENING       4
 TCP    192.168.1.41:1383      217.79.216.190:25      CLOSE_WAIT      3340
 TCP    192.168.1.41:1424      217.79.216.190:25      CLOSE_WAIT      3340
 TCP    192.168.1.41:1547      209.191.88.239:25      ESTABLISHED     3340
 TCP    192.168.1.41:1592      209.191.88.239:25      ESTABLISHED     3340
 TCP    192.168.1.41:1649      209.191.88.239:25      ESTABLISHED     3340
 TCP    192.168.1.41:1661      209.191.88.239:25      ESTABLISHED     3340
 TCP    192.168.1.41:1706      209.191.88.239:25      ESTABLISHED     3340
 TCP    192.168.1.41:1851      217.79.216.190:25      CLOSE_WAIT      3340
 TCP    192.168.1.41:1893      217.79.216.190:25      CLOSE_WAIT      3340
 TCP    192.168.1.41:1959      209.191.118.103:25     ESTABLISHED     3340
 TCP    192.168.1.41:1971      216.39.53.1:25         ESTABLISHED     3340
 TCP    192.168.1.41:2059      209.191.118.103:25     ESTABLISHED     3340
 TCP    192.168.1.41:2127      195.137.128.30:25      ESTABLISHED     3340
 TCP    192.168.1.41:2132      208.29.62.83:25        ESTABLISHED     3340
 TCP    192.168.1.41:2142      200.198.37.3:25        ESTABLISHED     3340
 TCP    192.168.1.41:2216      213.166.4.221:25       CLOSE_WAIT      3340
 TCP    192.168.1.41:2235      216.39.53.1:25         ESTABLISHED     3340
 TCP    192.168.1.41:2247      194.97.156.20:25       ESTABLISHED     3340
 TCP    192.168.1.41:2381      216.39.53.1:25         ESTABLISHED     3340
 TCP    192.168.1.41:2450      216.39.53.2:25         CLOSE_WAIT      3340

Tiến trình :C:\Program Files\Internet Explorer\explore.exe
Yêu cầu thực thi: eplorer.exe 

cái này của bác Hoàng sao ấy nhỉ? nhưng sao nó lại được tạo ra cùng với mấy cái kia nhỉ
 

Khi IE mở thì FastHelper báo:

Tiến trình :C:\Program Files\Internet Explorer\explore.exe
Yêu cầu thực thi: eplorer.exe
 

O20 - Winlogon Notify: mckkmzek - C:\WINDOWS\SYSTEM32\llaclla.dll HijackThis kô nói gì với dòng này
 

Sao H down về, 32KB nhưng ko unzip được ?  

TCP 192.168.1.41:1383 217.79.216.190:25 CLOSE_WAIT 3340
 

Tiến trình :C:\Program Files\Internet Explorer\explore.exe
Yêu cầu thực thi: eplorer.exe
 

Bật task manager lên thì thấy PID của explorer.exe chính là 3340
 

Kô thấy có Process nào lạ.
 

Nó đây bác: http://www.freewebtown.com/tauma/data/Mau.zip
 

Tiến trình :C:\Program Files\Internet Explorer\explore.exe
Yêu cầu thực thi: eplorer.exe  

trong \Internet Explorer làm gì có file explore.exe ta ? Có lẽ đây cũng là 1 file của virus.

Bật task manager lên thì thấy PID của explorer.exe chính là 3340  

Nhiều khi cái explorer.exe này là trong \Internet Explorer chứ không phải explorer gốc.  

Tiến trình :C:\Program Files\Internet Explorer\iexplore.exe
Yêu cầu thực thi: eplorer.exe  

Kô thấy có Process nào lạ.  

hehehe... có chừa chiêu "canh me" process chưa  

More info đây:
Cái change homepage url của IE là do file ipv6mons.dll làm. Nó là 1 BHO nên mỗi khi bạn execute IE thì dll đó được thực thi. Bạn move ra khỏi vị trí cũ nên không bị change Homepage là đúng rồi  

Trong file zip của bạn có file bzmtsc32.dll là trojan Proxy-Agent.a  

Vậy là em dính tới 2 con cơ á (
 

217.79.216.190 là IP của ai thế bác Hoàng? Bác có thể chỉ em cách xác định IP nào ở quốc gia nào kô?

Check ở đây http://www.ip2location.com/), nó từ Germany.

Vậy thì con trojan này ghi đè file ipv6mons.dll của nó lên file ipv6mons.dll cũa của hệ thống phải kô bác? Ngày giờ tạo ra cùng với mấy file kia mà bác.

Cái file ipv6mons.dll nguyên góc của hệ thống nó có những chức năng gì thế bác? Em có cần đi máy khác copy lại về kô?
 

File này của con malware này luôn mà ?

HKCR\CLSID\{B86326FD-80F5-4486-8443-44FB39588CFC}\InprocServer32
(Default)=RWG_SZ:"c:\windows\system32\llaclla.dll"

HKCR\Xpmgdftp\CLSID
(Default)=RWG_SZ:"{B86326FD-80F5-4486-8443-44FB39588CFC}"

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Applets\Regedit
LastKey=RWG_SZ:"My Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B86326FD-80F5-4486-8443-44FB39588CFC}\InprocServer32"

HKCU\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Ext\Stats\{B86326FD-80F5-4486-8443-44FB39588CFC}

HKLM\SOFTWARE\Classes\CLSID\{B86326FD-80F5-4486-8443-44FB39588CFC}\InprocServer32
(Default)=RWG_SZ:"c:\windows\system32\llaclla.dll"

HKLM\SOFTWARE\Classes\Xpmgdftp\CLSID
(Default)=RWG_SZ:"{B86326FD-80F5-4486-8443-44FB39588CFC}"

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B86326FD-80F5-4486-8443-44FB39588CFC}
(Da xoa key)

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\mckkmzek
DLLName=RWG_SZ:"llaclla.dll"

HKLM\SYSTEM\ControlSet001\Service\wrfgvjif\Parameters
ServiceDll=REG_EXPAND_SZ:"C:\WINDOWS\system32\llaclla.dll"

HKLM\SYSTEM\ControlSet001\Service\wrfgvjif\Parameters
ServiceDll=REG_EXPAND_SZ:"C:\WINDOWS\system32\llaclla.dll" 

C:\WINDOWS\WinSxS\x86_Microsoft.MSXML2R_6bd6b9abf345378f_4.1.0.0_x-ww_29c3ad6a\msxml4r.dll
C:\WINDOWS\WinSxS\x86_Microsoft.MSXML2_6bd6b9abf345378f_4.1.0.0_x-ww_b319d8da\msxml4.dll

C:\WINDOWS\WinSxS\x86_Microsoft.MSXML2R_6bd6b9abf345378f_4.1.0.0_x-ww_29c3ad6a\msxml4r.dll
C:\WINDOWS\WinSxS\x86_Microsoft.MSXML2_6bd6b9abf345378f_4.1.0.0_x-ww_b319d8da\msxml4.dll 

Cannot delete llaclla: Access is denied

Make sure the disk is not full or write -protected and that file is not curently in sue 

Vào dos xóa file llaclla.dll này rùi vào Win tạo một file 0KB tên là llaclla.dll thay thế có lẽ cũng là một cách phong thủ khá hay đối với con này phải kô các bác? nếu có bị nhiễm lại thì nó cũng kô thể ghi file sịn của nó đè lên file llacla.dll mình tạo ra được
 

Hôm qua khi chưa xóa file llaclla sịn đi em thấy explore.exe có sử dụng file dll này. Sau khi xóa nó đi rồi thì ko thấy nữa.
 

Bác Hoàng à! cái chức năng Unload của ProcessManager là gì thế ? em chọn một dòng dll rồi ấn vô là đơ cái ProcessManager luôn.
 

Em đã kiểm tra cái file llaclla.dll kia ,nó có full quyên dành cho admin. Khi Shift + Delete nó có báo lỗi là:
 

Một thông báo rất quen thuộc phải kô các bác Các bác giúp em với, cứ bị nó trêu ngươi em khó chịu quá.  

mình mới viết 1 con tương tự như thế ... nên xin hiến 1 số kế cho cách diệt loại virus này.
COn này chính xác là nó inject dll vào shell . shell ở đây là explorer.exe
Windows shell cho phép chèn 1 đoạn code trong dll vào tiến trình explorer bằng 1 hàm trong shellapi (mình ko muốn nói rõ về hàm này... bạn nào muốn viết vì trao đổi với mình).

Dùng các chương trình chặn ghi vào registry bạn có thể biết dc vị trí con dll này... có thể là cùg 1 lúc nhiều dll....
TUy nhiên bạn ko thể delete nó dc vì nó đag đc xài bởi explorer.exe.. muốn diệt nó bạn làm 2 bước sau :
- Đảm bảo ko có tiến trình lạ nào đag chạy có thể là phương án 2 của nó.
- Kill explorer.exe => dll sẽ unload
->>> delete file dll nghi ngờ....
PHẢI ĐẢM BẢO LÀ KO CÒN CON .EXE NÀO CÓ THỂ TẠO MỚI DLL VÀ NHÚG LẠI VÀO EXPLORER.EXE

Sau đó hãy lần theo các khóa nguy hiểm trong registry để xóa nhữg con dạng .exe (các khóa mà chtr dc chay khi khởi động)

* chú ý:
1. Khi bị dính loại này , mã độc dc chạy ngay trên tiến trình explorer. Do đó rất nguy hiểm , bởi ko thể nghi ngờ explorer dc..
2.Kể cả trong safe mode explorer vẫn có thể bị inject dll cho dù bạn gọi nó từ taskmanager chứ ko phải winlogon. (còn của mình là vậy... còn ở đây ko biết thế nào)
3. Đối với loại virus inject dll này bạn nên chú ý nếu như thấy 1 tiến trình đag chạy là rundll32.exe rundll32.exe là 1 chtr hợp pháp của win nó dùng để chạy 1 hàm trong dll dc chỉ định... và rất có thể nó đag run mã độc..(nên cẩn thận bởi cpl của control panel cũng là dll, khi bạn mở 1 applet control panel thì nó dc run bởi rundll32.exe).

Mình đang phát triển con này.. và thấy rằng hoàn toàn có thể đăng ký 1 applet control panel để người dùng tự kích hoạt...
4. Khi kiểm tra các khóa registry .. đặc biệt cẩn thận với các khóa có chứa shell/command.... giá trị của nó có thể là 1 câu lệnh thực thi kích hoạt lại virus.

Khuyến cáo cho các chtr diệt virus.... : Hầu hết chtr diệt virus chặn việc ghi vào registry.. chưa có cơ chế chặn inject dll...
Do đó 1 giải pháp hữu hiệu cho mấy bác bkav là : HOOK API, còn API nào thì các bác tự tìm hiểu...






 

run okie trên winxp sp2, vista, bitdefender, avast, karpersky,bkav.....
bạn yên tâm...đã test... chưa lây
mình đang thực hiện bước tiếp theo để mở socket.....
đag thi cử mệt quá.... he` sẽ hoàn thiện ....
đag có 2 hướng để phát triển con này :
1 là nghiên cứu về cách thực thi của reg api function, để tránh bị hook
2 là tinh chế birnary code dll
tài liệu, source đã có.. ko biết có thành công hay ko... xog mình sẽ mang cho bác Hoàg test...

a`h wen... khoe với mọi người là con của mình nó chạy trc khi explorer hay 1 chtr nào trong list autorun dc chạy... nên có thể cấm các chtr diệt virus chạy ... chứ chưa nói đến là kill bọn đó.... 

HKCR\CLSID\{B86326FD-80F5-4486-8443-44FB39588CFC}\InprocServer32
(Default)=RWG_SZ:"c:\windows\system32\llaclla.dll"

HKCR\Xpmgdftp\CLSID
(Default)=RWG_SZ:"{B86326FD-80F5-4486-8443-44FB39588CFC}"

HKCU\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Ext\Stats\{B86326FD-80F5-4486-8443-44FB39588CFC}

HKLM\SOFTWARE\Classes\CLSID\{B86326FD-80F5-4486-8443-44FB39588CFC}\InprocServer32
(Default)=RWG_SZ:"c:\windows\system32\llaclla.dll"

HKLM\SOFTWARE\Classes\Xpmgdftp\CLSID
(Default)=RWG_SZ:"{B86326FD-80F5-4486-8443-44FB39588CFC}"

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\Notify\mckkmzek
DLLName=RWG_SZ:"llaclla.dll"  

Bạn vào đây download cái này về rồi dùng thử xem,mình nghĩ sẽ xóa được :
http://www.softpedia.com/progDownload/MoveOnBoot-Download-1398.html  

llaclla.exe thực chất là 1 dll, đỗi thành .exe thôi, nên bà con đừng cố run nó, run cũng không được đâu, và chả chết ai.
Cả 2 .dll này đều được viết = Borland Delphi 7, pack = 2 lớp, UPX rồi Morphine.
Một số hàm export của nó:
Code:

Name                               VA                Ord
ServiceMain                      00419254     1 
WLEventLogoff                  00419248      2 
WLEventLogon                   00419244     3 
DllUnregisterServer           00419240      4 
DllRegisterServer              00419234      5 
DllCanUnloadNow              00419230      6 
DllGetClassObject              00419224      7 
DllEntryPoint                     0041C17C

Giờ khuya rồi, tối may phân tích tiếp. 

hieuhoc wrote:

Bạn vào đây download cái này về rồi dùng thử xem,mình nghĩ sẽ xóa được :
http://www.softpedia.com/progDownload/MoveOnBoot-Download-1398.html  

cái này cũng kô delete được bạn ạ