12   2  /  2  页   跳转页

[原创] 一个值得注意的网马下载器

收藏
本主题由 版主 天月来了 于 2008-10-19 11:49:31 执行 主题置顶/取消 操作
小九的寒
头像
飘泊而立狮
  • 帖子:556
  • 注册: 2007-12-26
  • 来自:安徽九城监狱
发表于： 2008-10-16 11:55 | 短消息 资料
字号： 小 中 大 11楼

回复：一个值得注意的网马下载器

日志不完整，时间和日期都没有。
看来这个毒还真的历害了，不知道在远程能不能解决。是不是清理此毒必须要在断网的情况下才能解决。
如果在远程不能断网的情况下能解决？


要是下次碰到
我来用qqkav看一下能不能傻瓜式的杀掉。

病毒网址还可以打开。也可以正常下载，我来找一台机器试验一下。
最后编辑小九的寒 最后编辑于 2008-10-16 11:59:15
gototop
 
孤独的狼1982
头像
拙长孩提狮
  • 帖子:105
  • 注册: 2005-06-30
  • 来自:
发表于： 2008-10-16 19:25 | 短消息 资料
字号： 小 中 大 12楼

回复：一个值得注意的网马下载器

注意、注意、再注意
gototop
 
闪电风暴
头像
特邀体验者
  • 帖子:5462
  • 注册: 2005-01-12
  • 来自:0GiNr
发表于： 2008-10-17 21:49 | 短消息 资料
字号： 小 中 大 13楼

回复：一个值得注意的网马下载器

看来那个sys只会恢复个SSDT，连挂Inline Hook 都不会。想管住IceSword终止它的进程很容易的，只不过许多人以为不让IceSword运行就足够了。

我想病毒作者可能写了这样的伪代码：

while(1)
{
  ::Sleep(xxx);
  if(ScanIceSword())
  {
          KillIceSword(); // 以为杀掉一次IS就够了
          break;  //  这句break导致检测IS的循环退出。
  }
}
gototop
 
happysunday2003
头像
叱咤花甲狮
  • 帖子:4313
  • 注册: 2007-08-15
  • 来自:358团
论坛8周年活动礼物
发表于： 2008-10-18 11:49 | 短消息 资料
字号： 小 中 大 14楼

回复：一个值得注意的网马下载器

努力研究中
gototop
 
０７０５０２０７
头像
自信弱冠狮
  • 帖子:356
  • 注册: 2008-07-08
  • 来自:
发表于： 2008-10-18 18:40 | 短消息 资料
字号： 小 中 大 15楼

回复：一个值得注意的网马下载器

学习了！
gototop
 
aaccbbdd
头像
卡卡巡查
  • 帖子:45933
  • 注册: 2007-11-17
  • 来自:蜀山仙剑派
论坛8周年活动礼物卡卡名人堂祖国六十华诞09欢乐圣诞吃货勋章2012我眼中的你们幸福玫瑰
发表于： 2008-10-18 18:44 | 短消息 资料
字号： 小 中 大 16楼

回复 1F baohe 的帖子

[HBKernel32 Driver / HBKernel32][Running/Boot Start]
  <\SystemRoot\system32\DRIVERS\HBKernel32.sys><N/A>
这驱动怎么到处都有。。。。
gototop
 
<<上一主题|下一主题>>
12   2  /  2  页   跳转页
页面顶部
Powered by Discuz!NT