123   1  /  3  页   跳转页

上报一个病毒附上样本下载地址

收藏
xzcvxczvawae
头像
初生襁褓狮
  • 帖子:46
  • 注册: 2007-02-16
  • 来自:
发表于： 2007-02-16 01:27 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

上报一个病毒附上样本下载地址

这是我上传的地址，需要的请下载
http://www.51ta.cn/UploadFiles/2007-2/216329212.zip
请勿大流量下载，这个服务器可不是下载用的。

描述：
这个病毒是用VB6.0编写，病毒体、释放体均使用FSG加壳
在Win9X等没有附带VB6运行库的系统下将无法执行

释放体图标为一个陈水扁的头像
病毒本体为正常ctfmon.exe的图标

执行后会修改系统时间至1993年3月31日
复制ctfmon.exe文件到C盘（不理解，可能是程序编写的问题吧）
按C-Z盘的顺序复制释放体（隐藏）至根目录下
释放病毒体至%windir%\system32\dllcache\ctfmon.exe

复制后执行病毒体）
病毒体自身复制到%windir%\system32\ctfmon.exe
接着使用外部命令net stop cryptsvc企图关闭Cryptographic Services服务

他会每隔1秒将本体复制到%windir%\system32\drivers\IsDrv120.sys
设置为只读、隐藏属性，达到让IceSword无法正常释放驱动的目的（这方法第一次见！高，实在是高！Hook都不用！）
每隔0.03秒检查窗口名为IceSword的程序，发现锁定鼠标在L100 R100的位置并且使用RtlAdjustPrivilege SE_SHUTDOWN_PRIVILEGE取得关机的最优先权，直接关机（同你在任务管理器中按住Ctrl并且关机的效果相同）

剩下的细节不多说了，自己研究看看吧。
我是菜鸟，哪里说的不对请高手指正，谢谢！
最后编辑2007-02-16 17:53:57
分享到：
gototop
 
xzcvxczvawae
头像
初生襁褓狮
  • 帖子:46
  • 注册: 2007-02-16
  • 来自:
发表于： 2007-02-16 01:29 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

再狠点，再狠点，再狠点。。。。。。。。。。。
gototop
 
UFO不幸外人
头像
特邀体验者
  • 帖子:2592
  • 注册: 2006-11-26
  • 来自:火星
发表于： 2007-02-16 01:41 | 短消息 资料
字号： 小 中 大 3楼

好早的病毒，我记得怎么还建立autorun.inf和把文件放到X:\recycled\ctfmon.exe。。。
gototop
 
xzcvxczvawae
头像
初生襁褓狮
  • 帖子:46
  • 注册: 2007-02-16
  • 来自:
发表于： 2007-02-16 01:44 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

引用:
【UFO不幸外人的贴子】好早的病毒，我记得怎么还建立autorun.inf和把文件放到X:\recycled\ctfmon.exe。。。
………………


晕，可能是比较相似吧
gototop
 
UFO不幸外人
头像
特邀体验者
  • 帖子:2592
  • 注册: 2006-11-26
  • 来自:火星
发表于： 2007-02-16 01:57 | 短消息 资料
字号： 小 中 大 5楼

文件名称一模一样
gototop
 
xzcvxczvawae
头像
初生襁褓狮
  • 帖子:46
  • 注册: 2007-02-16
  • 来自:
发表于： 2007-02-16 01:59 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

引用:
【UFO不幸外人的贴子】文件名称一模一样
………………


晕，文件名一样不能说明什么
gototop
 
sanjingshou
头像
强壮不惑狮
  • 帖子:1166
  • 注册: 2006-07-15
  • 来自:
发表于： 2007-02-16 09:19 | 短消息 资料
字号： 小 中 大 7楼

1.运行病毒样本后，SSM提示如图一，允许后，病毒样本会在每个盘下释放ha.exe，同时修改系统时间到1993年
图1

附件附件:

下载次数:261
文件类型:application/octet-stream
文件大小:
上传时间:2007-2-16 9:19:06
描述:
gototop
 
sanjingshou
头像
强壮不惑狮
  • 帖子:1166
  • 注册: 2006-07-15
  • 来自:
发表于： 2007-02-16 09:20 | 短消息 资料
字号： 小 中 大 8楼

2.SSM拦截如图2，再允许后，病毒会在C盘释放文件CFTMON.EXE
图2

附件附件:

下载次数:271
文件类型:application/octet-stream
文件大小:
上传时间:2007-2-16 9:20:35
描述:
gototop
 
sanjingshou
头像
强壮不惑狮
  • 帖子:1166
  • 注册: 2006-07-15
  • 来自:
发表于： 2007-02-16 09:21 | 短消息 资料
字号： 小 中 大 9楼

3.SSM拦截如图3，4
允许后出现如图5

附件附件:

下载次数:269
文件类型:application/octet-stream
文件大小:
上传时间:2007-2-16 9:21:54
描述:
gototop
 
sanjingshou
头像
强壮不惑狮
  • 帖子:1166
  • 注册: 2006-07-15
  • 来自:
发表于： 2007-02-16 09:22 | 短消息 资料
字号： 小 中 大 10楼

图4

附件附件:

下载次数:256
文件类型:application/octet-stream
文件大小:
上传时间:2007-2-16 9:22:55
描述:
gototop
 
<<上一主题|下一主题>>
123   1  /  3  页   跳转页
页面顶部
Powered by Discuz!NT