瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 ★ RootKit木马的亲密接触 ★【原创】

12345678»   4  /  9  页   跳转页

★ RootKit木马的亲密接触 ★【原创】

收藏
子阳
头像
雄霸杖朝狮
  • 帖子:14755
  • 注册: 2004-04-13
  • 来自:
发表于： 2005-12-14 18:51 | 短消息 资料
字号： 小 中 大 31楼

学习了.
gototop
 
网络笨羊
头像
初生襁褓狮
  • 帖子:740
  • 注册: 2005-11-05
  • 来自:
发表于： 2005-12-14 19:14 | 短消息 资料
字号： 小 中 大 32楼

这是我用rootkitrevealer 扫的日志．楼主帮看看，是不是存在rootkit病毒？

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\BDATuner.    2005-9-18 22:18    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\BDATuner.    2005-9-18 22:18    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\Flash.Debug    2005-12-11 20:06    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\Flash.Video    2005-12-11 20:06    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\Save    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-9-18 22:58    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:20    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Classes\    2005-8-18 9:22    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:28    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:21    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:34    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:07    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:34    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-8-18 10:00    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Lenovo\    2005-9-18 17:05    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed    2005-12-14 18:50    80 bytes    Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Documents and Settings^All Users^    2005-12-11 13:30    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Adobe Photoshop 7.0     2005-9-25 0:02    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches\    2003-10-20 11:34    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Adobe Photoshop 7.0     2005-9-19 21:41    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\ODBC\ODBCINST.INI\Conversor de p    2005-9-18 17:24    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\ODBC\ODBCINST.INI\MS Code Page-    2005-9-18 17:24    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\Ulead Systems\    2005-9-18 17:33    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\YingSoft\YingInstall\http://www.mmsk.cn\    2005-12-11 13:30    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\    2005-8-18 9:31    0 bytes    Key name contains embedded nulls (*)
HKLM\SOFTWARE\    2005-8-18 10:01    0 bytes    Key name contains embedded nulls (*)
C:\System Volume Information\_restore{D7CF3D9E-189B-4FD5-AB28-4C52C51EE0EE}\RP206\A0024302.ini    2005-12-7 18:37    1.01 KB    Hidden from Windows API.
C:\System Volume Information\_restore{D7CF3D9E-189B-4FD5-AB28-4C52C51EE0EE}\RP206\A0024303.ini    2005-12-7 18:37    664 bytes    Hidden from Windows API.
C:\System Volume Information\_restore{D7CF3D9E-189B-4FD5-AB28-4C52C51EE0EE}\RP206\A0024304.INI    2005-12-7 18:37    67 bytes    Hidden from Windows API.
C:\WINDOWS\Prefetch\XDICT.EXE-3AF5923A.pf    2005-12-14 18:53    38.69 KB    Hidden from Windows API.E:    1601-1-1 8:00    0 bytes    Error mounting volumeF:    1601-1-1 8:00    0 bytes    Error mounting volume
其中主要是最后粗体的几项
gototop
 
闪电风暴
头像
特邀体验者
  • 帖子:5462
  • 注册: 2005-01-12
  • 来自:0GiNr
发表于： 2005-12-14 20:07 | 短消息 资料
字号： 小 中 大 33楼

好，收藏
gototop
 
海色の月
头像
社区嘉宾
  • 帖子:776
  • 注册: 2004-04-01
  • 来自:
发表于： 2005-12-14 22:34 | 短消息 资料
字号： 小 中 大 34楼

从现有的一些情况来看，XP/2003下修改的一般是dmserver服务参数。
gototop
 
诸神的黄昏
头像
初生襁褓狮
  • 帖子:678
  • 注册: 2003-12-08
  • 来自:
发表于： 2005-12-15 09:18 | 短消息 资料
字号： 小 中 大 35楼

应该是 PCShare服务端吧。其实只要用ICESWORD删除了那个SYS就好搞定了。
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-12-15 11:11 | 只看楼主 短消息 资料
字号： 小 中 大 36楼

引用:
【诸神的黄昏的贴子】应该是 PCShare服务端吧。其实只要用ICESWORD删除了那个SYS就好搞定了。
...........................


多谢这位朋友的回复。

我下载了PCShare,测试了一下生成的客户端程序与我本文写的实现原理相同，但它没有隐藏注册表，没有我文中提到的这个厉害，估计我文中提到的这个是它最新版本生成的，但我找不到最新版本的PcShare。
gototop
 
玉面修罗
头像
初生襁褓狮
  • 帖子:403
  • 注册: 2005-09-20
  • 来自:
发表于： 2005-12-19 13:27 | 短消息 资料
字号： 小 中 大 37楼

好东西。。。多谢分享
gototop
 
baohe
头像
大版主
  • 帖子:72569
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2005-12-19 14:56 | 短消息 资料
字号： 小 中 大 38楼

【回复“BlackStone”的帖子】
这类木马已经见到过4个。一般规律是：感染系统后， 释放.exe、.dll、.sys各一个。.dll插入ixplore.exe或winlogon.exe、services.exe等系统关键进程。.exe和.sys启动加载。如果有IceSword，总能找到查杀线索。
目前为止，这些木马的感染过程还不能完全逃脱IceSword和TPF2005的监测。下面一个例子是10月7日观察的：
http://forum.ikaka.com/topic.asp?board=28&artid=7272018
gototop
 
BlackStone
头像
叱咤花甲狮
  • 帖子:2616
  • 注册: 2005-09-27
  • 来自:
发表于： 2005-12-19 15:39 | 只看楼主 短消息 资料
字号： 小 中 大 39楼

引用:
【baohe的贴子】【回复“BlackStone”的帖子】
这类木马已经见到过4个。一般规律是：感染系统后， 释放.exe、.dll、.sys各一个。.dll插入ixplore.exe或winlogon.exe、services.exe等系统关键进程。.exe和.sys启动加载。如果有IceSword，总能找到查杀线索。
目前为止，这些木马的感染过程还不能完全逃脱IceSword和TPF2005的监测。下面一个例子是10月7日观察的：
http://forum.ikaka.com/topic.asp?board=28&artid=7272018
...........................


用IceSword可以解决，但还得找到木马修改的系统注册表启动项，就拿我我帖子中提到的这个来说吧，用IceSword清除没问题，若没有把Rpcss服务的ServiceDll项改回源值，会引起系统的Rpcss启动失败或启动异常的。
gototop
 
lqy1629
头像
初生襁褓狮
  • 帖子:1
  • 注册: 2005-12-20
  • 来自:
发表于： 2005-12-20 12:45 | 短消息 资料
字号： 小 中 大 40楼

唉，俺也中招了，看瑞星监控日志，OUTLOOK不断的申请网络联接，而且还不止一个，强行关闭都没用，照样在后台运行，越演越烈，连不上网的OFFICE软件们也开始不断申请上网联接，然后，明明msimn.exeK好几个在运行，可是我却连OUTLOOK的影子都看不到……胸闷得一塌糊涂！
很早就知道中了木马，可是搞不不定~高手指教……
而且在Temporary Internet Files里总会有几个网页或图片删不掉！文件不定，但总是有3-5个文件无法删除，好像隔一段时间换个替身似的。
更郁闷的是，在安全模式里瑞星防火墙根本无法打开，并提示，该文件有致命错误！
MSN接了个很一般的文件（安全无毒的），瑞星就开始嵌入式检查，检查完后就耍赖不关了，那个郁闷啊…………
HELP……
英文奇烂，整半天还是没用……

附件附件:

下载次数:0
文件类型:application/octet-stream
文件大小:
上传时间:2005-12-20 12:45:29
描述:
gototop
 
<<上一主题|下一主题>>
12345678»   4  /  9  页   跳转页
页面顶部
Powered by Discuz!NT