12345678   3  /  8  页   跳转页

关于c0nime.exe和iexp1ore.exe木马群

收藏
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2007-03-08 19:46 | 只看楼主 短消息 资料
字号： 小 中 大 21楼

引用:
【啊a啊我的贴子】第一步没懂~!
………………

第一步显示：那4个红色的病毒进程————SSM结束不了（SSM默认显示将规则禁止但不能结束的进程显示为红色）。
那4个病毒进程，需要用IceSword禁止进程创建后，再用IceSword一一结束之。
gototop
 
好学的忆忆
头像
快乐黄口狮
  • 帖子:263
  • 注册: 2007-01-28
  • 来自:
发表于： 2007-03-08 20:47 | 短消息 资料
字号： 小 中 大 22楼

学习了..
gototop
 
xzlx3354
头像
拙长孩提狮
  • 帖子:121
  • 注册: 2007-02-03
  • 来自:
发表于： 2007-03-08 22:02 | 短消息 资料
字号： 小 中 大 23楼

请问,如果没有监控的防火墙而中了这毒的话,怎么判断系统文件是被改过的?是不是根据修改时间?
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2007-03-08 22:09 | 只看楼主 短消息 资料
字号： 小 中 大 24楼

引用:
【xzlx3354的贴子】请问,如果没有监控的防火墙而中了这毒的话,怎么判断系统文件是被改过的?是不是根据修改时间?
………………

你指的是那个spoolsv.exe？
最简单的判断是根据图标。
正常系统文件的图标如下图
病毒文件的图标见主帖图3

附件附件:

下载次数:213
文件类型:image/pjpeg
文件大小:
上传时间:2007-3-8 22:09:42
描述:
预览信息:EXIF信息
gototop
 
xiaoyueIQ
头像
强壮不惑狮
  • 帖子:1076
  • 注册: 2006-11-11
  • 来自:蓝迪亚斯
发表于： 2007-03-09 09:18 | 短消息 资料
字号： 小 中 大 25楼

猫叔你的影子系统
能不能把你的地址给我啊
gototop
 
雪山铁骑
头像
锋芒艾服狮
  • 帖子:1182
  • 注册: 2004-10-23
  • 来自:
发表于： 2007-03-09 09:33 | 短消息 资料
字号： 小 中 大 26楼

引用:
【xiaoyueIQ的贴子】猫叔你的影子系统
能不能把你的地址给我啊
………………

http://www.powershadow.com
gototop
 
天月来了
头像
版主
  • 帖子:76904
  • 注册: 2007-02-06
  • 来自:
发表于： 2007-03-09 09:50 | 短消息 资料
字号： 小 中 大 27楼

猫叔你也用影子系统？
这里不是有人特反对影子系统吗？
你用它是啥感觉？？？？？
说说嘛！！！！！
还行吗？
没啥后遗症吧？？？？？？
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2007-03-09 10:02 | 只看楼主 短消息 资料
字号： 小 中 大 28楼

引用:
【天月来了的贴子】猫叔你也用影子系统？
这里不是有人特反对影子系统吗？
你用它是啥感觉？？？？？
说说嘛！！！！！
还行吗？
没啥后遗症吧？？？？？？

………………

影子系统的问题（卸净困难）：http://bbs.2dai.com/viewthread.php?tid=544123&extra=page%3D1

此法使用硬盘扇区直接操作，解决影子卸载不净问题。
使用sector editor的操作过程务必谨慎。
误操作可能导致严重后果。
不建议新手使用此法解决影子卸载问题。
gototop
 
not
头像
健康舞勺狮
  • 帖子:244
  • 注册: 2003-02-13
  • 来自:
发表于： 2007-03-09 10:45 | 短消息 资料
字号： 小 中 大 29楼

猫叔样本给个
tongxu1@163.com
gototop
 
寻找者
头像
快乐黄口狮
  • 帖子:172
  • 注册: 2005-07-11
  • 来自:
发表于： 2007-03-09 11:13 | 短消息 资料
字号： 小 中 大 30楼

引用:
【baohe的贴子】
我看到的过程是：病毒gggg.exe先删除正常系统文件spoolsv.exe；再将病毒文件spoolsv.exe写入system32目录下。WINDOWS并未报告系统文件被替换。
………………



在规则中按照图示的方法设置保护，能避免spoolsv.exe被病毒删除吗？

附件附件:

下载次数:199
文件类型:image/pjpeg
文件大小:
上传时间:2007-3-9 11:13:04
描述:
预览信息:EXIF信息
gototop
 
<<上一主题|下一主题>>
12345678   3  /  8  页   跳转页
页面顶部
Powered by Discuz!NT