瑞星卡卡安全论坛技术交流区可疑文件交流 弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb.net/1.js

12   2  /  2  页   跳转页

弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb.net/1.js

收藏
本主题由 技术团队 魔法学徒 于 2008-7-22 0:55:05 执行 delposts 操作
艾玛
头像
大版主
  • 帖子:18894
  • 注册: 2004-01-01
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2008-05-14 23:57 | 只看楼主 短消息 资料
字号： 小 中 大 11楼

回复: 弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb....



引用:
原帖由 艾玛 于 2008-5-13 8:08:00 发表
作者更新比较勤


[复制到剪贴板]
CODE:
hxxp://www.111550.net
hxxp://1.see101.net
hxxp://user1.33-23.net
hxxp://user1.33-25.net
hxxp://www.57804.net.cn
hxxp://www.aixiaoshuo.net/dl6.htm?13
hxxp://www.ackii.net/dl6.htm?14
hxxp://www.aixiaoshuo.net/news.html
hxxp://user1.33-25.net/ms06014.js
hxxp://user1.33-25.net/Thunder.html
hxxp://user1.33-25.net/GLWORLD.html
hxxp://user1.33-25.net/real.js
hxxp://user1.33-25.net/Real.html
bak.css

hxxp://www.55-25.cn
hxxp://www.88-64.cn
hxxp://www.77-49.cn
hxxp://www.too121.cn/7.htm?eeee
hxxp://www.too121.cn/news.html
hxxp://www.mvoe.cn/all/aa.js
hxxp://www.mvoe.cn/all/aa.htm?aa
hxxp://www.mvoe.cn/all/new.htm
hxxp://www.mvoe.cn/all/a014.js
hxxp://www.mvoe.cn/all/arl.js
hxxp://www.mvoe.cn/all/abf.js
hxxp://www.mvoe.cn/all/alz.htm
hxxp://www.mvoe.cn/all/anrl.htm
hxxp://w.117b.cn/net/are.exe
hxxp://w.338t.cn/net/are.exe
gototop
 
轩辕小聪
头像
卡卡技术团队
  • 帖子:8368
  • 注册: 2006-01-09
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2008-05-16 19:22 | 短消息 资料
字号： 小 中 大 12楼

回复：弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb....

……
更新得比较夸张。
刚在霏凡看到其中一个，说一点东西：

释放的驱动其中一个动作：
当驱动的Device收到病毒主体文件的DeviceIoControl调用，IOCTL为0x222000时触发：

1. 读取硬盘中的atapi.sys
在其INIT段的代码中，利用特征码搜索
定位它的DrviceEntry中，填充DriverObject的MajorFunction的处理例程的代码。
从中得到其IRP_MJ_DEVICE_CONTROL和IRP_MJ_INTERNAL_DEVICE_CONTROL的原始处理例程地址。

2. 利用ZwQuerySystemInformation(SystemModuleInformation)得到系统加载的内核模块的列表，查找atapi.sys，得到其基址

3. ObReferenceObjectByName，访问atapi.sys的驱动对象'\Driver\atapi'
利用第1、2步得到的结果，计算出内核中其IRP_MJ_DEVICE_CONTROL和IRP_MJ_INTERNAL_DEVICE_CONTROL的原始处理例程地址。
于是就还原这两个地址。

也就是说，通过这样的方式，来还原其他保护软件对atapi.sys的驱动处理例程的HOOK。

以上动作的原理，可以见http://hi.baidu.com/sudami/blog/item/ffbee31e5687011c413417ea.html
果然还是被病毒作者给学走了么
gototop
 
艾玛
头像
大版主
  • 帖子:18894
  • 注册: 2004-01-01
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2008-05-16 22:38 | 只看楼主 短消息 资料
字号： 小 中 大 13楼

回复: 弹跳hxxp://www.11bbb.net/ad.html 和 hxxp://www.11bbb....



引用:
原帖由 轩辕小聪 于 2008-5-16 19:22:00 发表
……
更新得比较夸张。
刚在霏凡看到其中一个，说一点东西：

释放的驱动其中一个动作：
当驱动的Device收到病毒主体文件的DeviceIoControl调用，IOCTL为0x222000时触发：

1. 读取硬盘中的atapi.sys
在其INIT段的代码中，利用特征码搜索
定位它的DrviceEntry中，填充DriverObject的MajorFunction的处理例程的




哎
gototop
 
<<上一主题|下一主题>>
12   2  /  2  页   跳转页
页面顶部
Powered by Discuz!NT