12   1  /  2  页   跳转页

[原创] w1017.exe的处理

收藏
本主题由 大版主 baohe 于 2008-10-25 16:52:17 执行 主题置顶/取消 操作
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2008-10-20 15:57 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

w1017.exe的处理

瑞星20.66.60不报毒。

此毒改写系统文件beep.sys；恢复SSDT，并通过IFEO劫持废掉多个杀软及辅助杀毒工具。中此毒后，IceSword这样的工具也不能用了（此毒监视这些工具的目录、文件名以及窗口内容）。

Wsyscheck改名后还能正常运行。用改名后的Wsyscheck（如：WSC.EXE），按下图处理即可灭掉此毒。
重启后，手工删除病毒添加的加载项、服务项、IFEO劫持项即可。



病毒的服务名可能是随即字母名




此毒搞掉IceSword的原因恐怕是因为这个：



用户系统信息：Opera/9.60 (Windows NT 5.1; U; zh-cn) Presto/2.1.1
最后编辑baohe 最后编辑于 2008-10-20 16:50:15
分享到：
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2008-10-20 16:01 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

回复 2F yaya200054 的帖子

看完帖子，再回复，不行么？
gototop
 
Fabregas
头像
叱咤花甲狮
  • 帖子:2863
  • 注册: 2008-03-01
  • 来自:
发表于： 2008-10-20 16:13 | 短消息 资料
字号： 小 中 大 3楼

回复：w1017.exe的处理

我也中过类似的病毒，Icesword直接被删除，后来也是通过Wsyscheck改名后启动把病毒删除的。楼主的方法是很值得学习的。
gototop
 
晕４
头像
叱咤花甲狮
  • 帖子:5398
  • 注册: 2008-08-10
  • 来自:
发表于： 2008-10-20 18:27 | 短消息 资料
字号： 小 中 大 4楼

回复 1F baohe 的帖子

猫叔..

你在那里下载英语版的冰刃啊？

我想去下下..

那么

清理完这毒后就要替换系统文件beep.sys
gototop
 
networkedition
头像
社区嘉宾
  • 帖子:36698
  • 注册: 2008-02-28
  • 来自:
论坛8周年活动礼物09欢乐圣诞10温馨圣诞
发表于： 2008-10-20 19:41 | 短消息 资料
字号： 小 中 大 5楼

回复：w1017.exe的处理

猫叔样本上传给瑞星了吧
gototop
 
happysunday2003
头像
叱咤花甲狮
  • 帖子:4313
  • 注册: 2007-08-15
  • 来自:358团
论坛8周年活动礼物
发表于： 2008-10-21 13:05 | 短消息 资料
字号： 小 中 大 6楼

回复：w1017.exe的处理

此毒搞掉IceSword的原因恐怕是因为这个：


是什么意思？
gototop
 
天天免费啊
头像
初生襁褓狮
  • 帖子:11
  • 注册: 2008-10-21
  • 来自:
发表于： 2008-10-21 20:24 | 短消息 资料
字号： 小 中 大 7楼

回复：w1017.exe的处理

猫版没开下载啊,  那这个毒也失去研究意义了.  该毒的真正意图是联网下载 HB开头的DLL  和一些木马.
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2008-10-21 20:53 | 只看楼主 短消息 资料
字号： 小 中 大 8楼

回复: w1017.exe的处理



引用:
原帖由 天天免费啊 于 2008-10-21 20:24:00 发表
猫版没开下载啊,   那这个毒也失去研究意义了.  该毒的真正意图是联网下载 HB开头的DLL  和一些木马.


我用IDM（一个下载工具）接管所有网络下载。

遇到病毒下载器，下载的病毒全部进入IDM的download文件夹内。并不能自动运行。
gototop
 
xiaoshzi
头像
快乐黄口狮
  • 帖子:203
  • 注册: 2006-08-09
  • 来自:
发表于： 2008-10-22 17:43 | 短消息 资料
字号： 小 中 大 9楼

回复：w1017.exe的处理

猫叔换工具了呀
gototop
 
闪电风暴
头像
特邀体验者
  • 帖子:5462
  • 注册: 2005-01-12
  • 来自:0GiNr
发表于： 2008-10-22 20:23 | 短消息 资料
字号： 小 中 大 10楼

回复：w1017.exe的处理

应该不像是PJF在初始界面中写下的pjf(ustc)和IceSword，这些东西如果不是label的话，早就被转化成图片了。
而从图片中识别文字是十分麻烦的。

其实检测IceSword启动是很简单的。。。。Hook 掉CreateProcessExW，然后检查效验和就行。
gototop
 
<<上一主题|下一主题>>
12   1  /  2  页   跳转页
页面顶部
Powered by Discuz!NT