弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb.net/1.js bbs.ikaka.com

艾玛 - 2008-5-8 17:07:00

来源：

CODE:

hxxp://www.11bbb.net/ad.html
hxxp://www.11bbb.net/xx.html
hxxp://www.11bbb.net/1.js
hxxp://user1.33-23.net/ms06014.js
hxxp://user1.33-23.net/Thunder.html
hxxp://user1.33-23.net/GLWORLD.html
hxxp://user1.33-23.net/real.js
hxxp://user1.33-23.net/Real.html

需屏蔽网址：

[复制到剪贴板]

CODE:

11bbb.net
33-23.net
33-22.net
33205.net

麦青儿 - 2008-5-8 17:10:00

收走

艾玛 - 2008-5-10 10:43:00

引用:

原帖由 麦青儿 于 2008-5-8 17:10:00 发表
收走

:default3:

更新了。。。。

virus

附件: user1_33-22_net.rar

RisingCSC - 2008-5-12 11:34:00

引用:

原帖由艾玛于 2008-5-10 10:43:00 发表

引用:

原帖由 麦青儿 于 2008-5-8 17:10:00 发表
收走

:default3:

更新了。。。。

virus

瑞星杀毒软件版本20.43.62
bak.css Trojan.Win32.Undef.gfd

networkedition - 2008-5-12 22:53:00

hxxp://user1.33-23.net/ms06014.js
hxxp://user1.33-26.net/bak.css
hxxp://user1.33-26.net/GLWORLD.html
hxxp://user1.33-22.net/bak.css

networkedition - 2008-5-12 23:03:00

hxxp://user1.33-26.net/real.js
hxxp://ruser1.33-26.net/bak.css

networkedition - 2008-5-12 23:07:00

hxxp://user1.33-26.net/Real.html
hxxp://user1.33-22.net/bak.css

networkedition - 2008-5-12 23:16:00

hxxp://user1.33-23.net/Thunder.html 这个估计一样

艾玛 - 2008-5-13 8:08:00

作者更新比较勤

艾玛 - 2008-5-14 23:57:00

引用:

原帖由艾玛于 2008-5-13 8:08:00 发表
作者更新比较勤

[复制到剪贴板]

CODE:

hxxp://www.111550.net
hxxp://1.see101.net
hxxp://user1.33-23.net
hxxp://user1.33-25.net
hxxp://www.57804.net.cn
hxxp://www.aixiaoshuo.net/dl6.htm?13
hxxp://www.ackii.net/dl6.htm?14
hxxp://www.aixiaoshuo.net/news.html
hxxp://user1.33-25.net/ms06014.js
hxxp://user1.33-25.net/Thunder.html
hxxp://user1.33-25.net/GLWORLD.html
hxxp://user1.33-25.net/real.js
hxxp://user1.33-25.net/Real.html
bak.css

hxxp://www.55-25.cn
hxxp://www.88-64.cn
hxxp://www.77-49.cn
hxxp://www.too121.cn/7.htm?eeee
hxxp://www.too121.cn/news.html
hxxp://www.mvoe.cn/all/aa.js
hxxp://www.mvoe.cn/all/aa.htm?aa
hxxp://www.mvoe.cn/all/new.htm
hxxp://www.mvoe.cn/all/a014.js
hxxp://www.mvoe.cn/all/arl.js
hxxp://www.mvoe.cn/all/abf.js
hxxp://www.mvoe.cn/all/alz.htm
hxxp://www.mvoe.cn/all/anrl.htm
hxxp://w.117b.cn/net/are.exe
hxxp://w.338t.cn/net/are.exe

轩辕小聪 - 2008-5-16 19:22:00

……
更新得比较夸张。
刚在霏凡看到其中一个，说一点东西：

释放的驱动其中一个动作：
当驱动的Device收到病毒主体文件的DeviceIoControl调用，IOCTL为0x222000时触发：

1. 读取硬盘中的atapi.sys
在其INIT段的代码中，利用特征码搜索
定位它的DrviceEntry中，填充DriverObject的MajorFunction的处理例程的代码。
从中得到其IRP_MJ_DEVICE_CONTROL和IRP_MJ_INTERNAL_DEVICE_CONTROL的原始处理例程地址。

2. 利用ZwQuerySystemInformation(SystemModuleInformation)得到系统加载的内核模块的列表，查找atapi.sys，得到其基址

3. ObReferenceObjectByName，访问atapi.sys的驱动对象'\Driver\atapi'
利用第1、2步得到的结果，计算出内核中其IRP_MJ_DEVICE_CONTROL和IRP_MJ_INTERNAL_DEVICE_CONTROL的原始处理例程地址。
于是就还原这两个地址。

也就是说，通过这样的方式，来还原其他保护软件对atapi.sys的驱动处理例程的HOOK。

以上动作的原理，可以见http://hi.baidu.com/sudami/blog/item/ffbee31e5687011c413417ea.html
果然还是被病毒作者给学走了么:kaka11:

艾玛 - 2008-5-16 22:38:00

引用:

原帖由 轩辕小聪 于 2008-5-16 19:22:00 发表
……
更新得比较夸张。
刚在霏凡看到其中一个，说一点东西：

释放的驱动其中一个动作：
当驱动的Device收到病毒主体文件的DeviceIoControl调用，IOCTL为0x222000时触发：

1. 读取硬盘中的atapi.sys
在其INIT段的代码中，利用特征码搜索
定位它的DrviceEntry中，填充DriverObject的MajorFunction的处理例程的

:kaka5: 哎

瑞星卡卡安全论坛