瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛菜鸟学堂 被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

1   1  /  1  页   跳转页

[分享] 被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

收藏
baohe
头像
大版主
  • 帖子:72569
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2010-04-03 17:20 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

1、此受感染程序不具备感染其它程序的能力。程序运行后，系统正常的资源管理器explorer.exe被改名为loader.exe，并存放到当前用户临时文件夹中。原windows目录及dllcache目录下的explorer.exe被病毒替换。除此之外，被病毒感染过的Slp3.exe运行后再无其它动作。下图是系统正常程序explorer.exe的MD5：







2、原windows目录及dllcache目录下的explorer.exe被病毒替换了。比较这三个程序的MD5即可判明：





3、开始用IceSword进行手工杀毒。先禁止进程创建：





4、结束explorer.exe进程：





5、删除dllcache目录下的explorer.exe：





6、删除windows目录下的explorer.exe：





7、将当前用户临时目录下的loader.exe拷贝到windows目录下：





8、拷贝loader.exe到windows目录时，文件名取为explorer.exe：





9、取消IceSword的“禁止进程创建”：




10、按CTRL_ALT_DEL三键，调出任务管理器。重新开启explorer.exe进程。





用户系统信息：Opera/9.80 (Windows NT 5.1; U; zh-cn) Presto/2.2.15 Version/10.10
本帖被评分 1 次
最后编辑baohe 最后编辑于 2010-04-03 17:25:18
分享到：
gototop
 
超级游戏迷
头像
卡卡技术团队
  • 帖子:25779
  • 注册: 2007-01-14
  • 来自:
卡卡名人堂论坛9周年纪念瑞星金牌用户
发表于： 2010-04-03 19:39 | 短消息 资料
字号： 小 中 大 2楼

回复：被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

看了半天，没发现一个人回帖。难道菜鸟都已经成长老鸟了么？看来我又落后了……

我是菜鸟，问问题：

1、不知道猫叔怎么发现explorer.exe被挪到系统临时文件目录中去的？难道是全C盘搜索MD5?

2、猫叔所发属性图，是用啥软件实现查看“文件校验”标签的？
打酱油的……
gototop
 
baohe
头像
大版主
  • 帖子:72569
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2010-04-04 17:30 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

回复: 被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒



引用:
原帖由 超级游戏迷 于 2010-4-3 19:39:00 发表
看了半天，没发现一个人回帖。难道菜鸟都已经成长老鸟了么？看来我又落后了……

我是菜鸟，问问题：

1、不知道猫叔怎么发现explorer.exe被挪到系统临时文件目录中去的？难道是全C盘搜索MD5?

2、猫叔所发属性图，是用啥软件实现查看“文件校验”标签的？



1、用Tiny追踪回滚模式监测病毒行为。
2、我的XP系统，不用其它工具，右键查看文件“属性”，即刻看到其MD5 。（不用工具的话，并非所有文件都能看到MD5。）
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2010-04-06 20:46 | 短消息 资料
字号： 小 中 大 4楼

回复 2F 超级游戏迷 的帖子

Hashtab有这效果....
PS：终于能上网了呢
gototop
 
超级游戏迷
头像
卡卡技术团队
  • 帖子:25779
  • 注册: 2007-01-14
  • 来自:
卡卡名人堂论坛9周年纪念瑞星金牌用户
发表于： 2010-04-07 00:11 | 短消息 资料
字号： 小 中 大 5楼

回复 5F backway 的帖子

呼呼，等网络管制解禁后，俺也去找一下这个hashtab……

目前还处在被管制状态，只能上新疆网和少数门户网站，搜索引擎网站、QQ和国外网站……不知道啥时候才能通……
打酱油的……
gototop
 
backway
头像
卡卡反病毒小组
  • 帖子:2473
  • 注册: 2008-11-20
  • 来自:
发表于： 2010-04-07 08:57 | 短消息 资料
字号： 小 中 大 6楼

回复: 被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒我



引用:
原帖由 超级游戏迷 于 2010-4-7 0:11:00 发表
呼呼，等网络管制解禁后，俺也去找一下这个hashtab……

目前还处在被管制状态，只能上新疆网和少数门户网站，搜索引擎网站、QQ和国外网站……不知道啥时候才能通…… 



我把Hashtab上传了，应该能下载吧。





引用:
MD5 hashes:                  HashTab Setup.exe:                  5845F52D425C75E232B1AD5EE3B189A8 (windows)


PS：把我上面重复的帖子删除吧，网速慢，回帖不容易......

附件附件:

下载次数:776
文件类型:application/octet-stream
文件大小:
上传时间:2010-4-7 8:57:28
描述:zip

本帖被评分 2 次
最后编辑backway 最后编辑于 2010-04-07 09:01:17
gototop
 
happysunday2003
头像
叱咤花甲狮
  • 帖子:4313
  • 注册: 2007-08-15
  • 来自:358团
论坛8周年活动礼物
发表于： 2010-04-18 14:13 | 短消息 资料
字号： 小 中 大 7楼

回复：被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

我也见过这个情况，我现在的电脑上就有这个校验选项卡，不知道是微软带的还是什么原因，貌似雨林木风的系统上有这个东西。
gototop
 
jks_风
头像
锋芒艾服狮
  • 帖子:2235
  • 注册: 2009-12-17
  • 来自:China
论坛9周年纪念09欢乐圣诞10温馨圣诞世界杯勋章实习生小红花与爱同行
发表于： 2010-04-18 20:54 | 短消息 资料
字号： 小 中 大 8楼

回复：被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

猫叔TINY的追踪回滚模式是不是就是追踪的那个模式，我英文不咋滴好，现在也正在用TINY，呵呵，不过没敢在物理机上用，先开始熟悉下在用
gototop
 
hfhbutn
头像
初生襁褓狮
  • 帖子:7
  • 注册: 2010-05-05
  • 来自:
发表于： 2010-05-05 16:16 | 短消息 资料
字号： 小 中 大 9楼

回复：被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

被替换的explorer.exe都改了什么呢？
gototop
 
dg328
头像
初生襁褓狮
  • 帖子:10
  • 注册: 2010-04-15
  • 来自:
发表于： 2010-05-07 23:10 | 短消息 资料
字号： 小 中 大 10楼

回复：被病毒感染过的Slp3.exe实机运行后的分析与手工杀毒

很菜的问一下TINY是什么来的？工具吗？
gototop
 
<<上一主题|下一主题>>
1   1  /  1  页   跳转页
页面顶部
Powered by Discuz!NT