Document2 病毒附件 求助

[xyu_ovi]

情况： Gmail apps 账户 桌面只在 Ubuntu 下登录 手机端使用 android cloudmagic 客户端 授权 cloudgmgic gmail 权限 chrome 完整权限 手机有 root 但是一直完全禁用 su 权限。

症状： 发件人 收件人都是我的账户 账户有两个别名都被用作发病毒 邮件在 sent mail 列表里面 也就是说邮件是通过登录以后发送的并不是伪造发件人

其他说明： 几天前收到这个的时候没太在意 以为是被伪造了发件人 出于好奇把附件下载下来了解压以后是个 JS 脚本 因为知道很可能是病毒 所以并没有执行过。几天期使用杀毒软件扫描了这个文件 没有报毒 Gmail 服务器也没有提示是病毒 附件可以被下载 这两天有连续收到多次这个邮件 今天登录了网页端 发现 Gmail 服务器报了病毒了。而且这个邮件出现在我的 sent mail 列表里面

所以我觉得很有可能是我的手机 或者 电脑中招了。但是不知道问题出在哪儿 有没有人遇到同样情况？

[qq316107934]

把 js 发出来被

[lavasing]

我的 inbox.com 的邮箱也收到了名为 Document 2.zip 的文件
在 qq 邮箱上提示有毒，解压出来是个 js 文件
代码在 http://pastebin.com/RsP2iuyb

[lavasing]

@qq316107934 见二楼

[xyu_ovi]

https://link.getsync.com/#f=share%20public&sz=94E2&t=1&s=HK5VPBJQIJ6HMKLL4Y3LTBZAVFFND5HI&i=CLWIFQWKF6EATV6O33NXYEOALHOY6DDEC&e=1459250422&v=2.3

病毒不太好传网盘 就用 btsync 分享把

[xyu_ovi]

@lavasing 其实问题是邮件是从我的账户发出去的。 并不是伪造发件人 所以我才担心的

[qq316107934]

@xyu_ovi js 混淆了，一会儿回寝室开电脑看下，看到倒数第二行貌似下载了一个 exe 文件来执行啊。

[VmuTargh]

@lavasing 试试发我 yandex: [e-mail]

[lavasing]

@VmuTargh 不方便发呀。。。
发的时候直接 virus message discarded 了。

[xd547]

我也收到了自己发给自己的 Document2 附件的邮件被 Gmail 标记为 spam 病毒。

[qq316107934]

是个 Downloader ，楼主最终应该是中了 exe 病毒了。

[xd547]

我这边用的是 google 的域名邮箱 sent mail 里面没有发件记录。

[xd547]

收件的邮箱地址是 xx[at]我的域名。不是 rainysummer[at]我的域名。只有一个用户，设置了代收。

[xd547]

我这边还开启了两步验证。

[messyidea]

加密压缩应该查不出来病毒吧。

[xd547]

“您尚未授予任何应用或网站访问您的 Google 帐户。”

[messyidea]

不好意思，我貌似理解错了 （

[qq316107934]

@xyu_ovi lrAXrUK 为 ActiveXObject 对象，之后病毒分别调用了 WScript.Shell,MSXML2.XMLHTTP 和 ADODB.Stream 来下载和保存，执行病毒。

[xd547]

看了下邮件头
Received: from HP ([113.188.178.237])
by mx.google.com with ESMTP id iz10si3874325obb.24.2016.03.24.08.58.13
for <[my mail address]>;

[xd547]

我这边看的结果应该是伪造发件人。并未打开 js 执行过。

[qq316107934]

@qq316107934 病毒下载的文件是 http://palahasit.com/system/logs/98h7b66gb.exe 但很明显现在已经被其他人（或者作者？）和谐了，无法进行进一步分析。