1   1  /  1  页   跳转

恶作剧??

恶作剧??

运行后

电脑自动重启    重启完了又重启  循环下去

晕死  还好有多个用户  登陆另一个用户  发现新增了个服务  如图
 附件: 您所在的用户组无法下载或查看附件

好象是利用关机时写入系统的

瑞星并没有提示
(木马也这样就糟了)


....

有兴趣的分析看看....

用户系统信息:Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; WPS; CIBA)

附件附件:

您所在的用户组无法下载或查看附件

一见钟情,再而衰,三而竭。
分享到:
gototop
 

回复 1F wjzdw 的帖子

纯属个人安全意识及防护问题。
这个程序运行后,无文件释放。只是添加了一个注册表项。
如果有HIPS之类的工具,阻止此程序的重启动作,删除那个注册表项即可。


 附件: 您所在的用户组无法下载或查看附件

 附件: 您所在的用户组无法下载或查看附件
gototop
 

回复 2F baohe 的帖子

没办法  瑞星能监控的都开了  就是不能阻止它关机......

对于普通用户 不能要求他专门装个  HIPS吧

补充:样本转自卡饭...别说我侵权
一见钟情,再而衰,三而竭。
gototop
 

一个在7月搞怪的简单的恶作剧程序

同刚刚看到的那帖的样本类似,同样是Delphi 7所写的,基于TForm类的程序,无壳,同样直接用DeDe进行反编译。
从反编译后的.pas看到,这个程序的结构比较简单:

TForm1=class(TForm)
procedure FormCreate(Sender : TObject);
private
{ Private declarations }
public
{ Public declarations }
end ;


其中起作用的就只有一个FormCreate过程。

其行为:
procedure FormCreate(Sender : TObject);{当窗口被创建,收到WM_CREATE消息时,此函数被调用}
begin

调用GetSystemTime获得系统时间
得到计算机名,但是并没有保存这个名称
比较系统时间中的月份是否为7,如不为7,则直接关闭自身窗口,程序会退出
也就是说,这个程序之后的行为,只在7月份才会表现出来:
将计算机名改为"Serveb"
为自身进程提"Seshutdownprivilege"权限(要进行关机或重启的操作,需要有这个权限)
ExitWindows Ex(EWX_REBOOT|EWX_FORCE,0);(强制重启系统,API中间有个空格,是因为不知道为什么被卡卡屏蔽了,所以只能改成这样)
SetWindowLong(Form1.Handle,GWL_EXSTYLE,WS_EX_TOOLWINDOW);{为自身窗口增加一个tool window的扩展属性,这样它不会出现在任务栏上}
在注册表
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runonce]
创建Msconfig键,值为自身文件路径,以实现每次开机后的自启动。


end;
最后编辑轩辕小聪 最后编辑于 2008-07-06 16:28:28
病毒样本请发到可疑文件交流区
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT