http://www.mediafire.com/?1ecnlmadgdacsda
http://www.mediafire.com/download.php?9bo57outrj3ds7h 

http://anubis.iseclab.org/?action=result&task_id=1fb329ad44e85331455b2eb38b97922f9&format=html
- HTTP Conversations:
From ANUBIS:1029 to 66.220.158.11:80 - [facebook.com]
Request: GET /
Response: 301 "Moved Permanently"
Request: POST /ajax/chat/settings.php?__a=1
Response: 200 "OK"
Request: POST /ajax/chat/buddy_list.php?__a=1
Response: 200 "OK"
From ANUBIS:1030 to 69.171.242.74:80 - [www.facebook.com]
Request: GET /
Response: 200 ""
 

1. Khi chạy sẽ tự copy vào c:\windows\iqs.exe, đặt registry để tự chạy mỗi khi khởi động máy

2. Mở firewall cho file iqs.exe (đặt tên là Microsoft Firevall Engine và MSN Messenger)

3. Tắt service wuauserv (Window Update), chắc là để vô hiệu hóa tool MRT của Microsoft

4. Vô hiệu hoá các phần mềm anti-virus (Kaspersky, Microsoft Esstential - Windows Defender, AntiVir, Avira, AVG), cách đơn giản là sử dụng hàm API NtTerminateProcess để end task tắt tiến trình process.

5. Tìm các window của các chương trình chat (là ICQ, YIM, GTalk) để lấy danh sách nick chat (sử dụng Windows API: FindWindow, GetWindowText,...), Facebook thì dùng API để gửi HTTP request (POST, GET) và sử dụng Windows API truy cập vào HTML DOM (Internet Explorer_Server, DocObject, IEFrame,...) để lấy dữ liệu, sau đó gửi tất cả về "nơi xa", có thể là compiler.r-t-x.com, hoặc 1 host khác tùy theo master server, cũng có thể kết nối thông qua 1 proxy server 74.208.228.202:5050 để gửi dữ liệu.
Tham khảo API FB:
- http://security.stackexchange.com/questions/3570/facebook-spam-phishing-attempt
- http://www.phpkode.com/source/s/facebook-chat/facebook.class.php
- http://imfreedom.org/wiki/Facebook

6. Tự động gửi link lây lan đến các bạn chat trong danh sách (maybe).

7. Đặt lại Trang chủ (Homepage) của các trình duyệt Chrome, Firefox, Internet Explorer, cụ thể đặt link nào thì mình chưa có test tiếp. 

Code của con này có nhiều cái hay lắm đấy. Bà con chat = FB coi chừng, nó lấy hết nội dung chat đấy, cái này em mới gặp. Code VC++ 2003 nên rất dễ phân tích. Đọc vui lắm. Mà hình như con này đang còn trong giai đoạn test hay sao mà nhiều hàm ThreadProc đã viết xong rồi, dài ngoằng, nhưng nghĩ sao thằng coder lại cho return một phát ngay đầu hàm luôn.
Tới lúc này, KAV và MS Security Essential không quét ra em bé đi kèm trong bụng. Em vừa submit lại. 

hi hi con này hay nhưng không biết dùng  

sao AVAST ko phát hiện đc nè  

trend micro không phát hiện ra nhỉ