关于近期流行的那个改写MBR的病毒 - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛关于近期流行的那个改写MBR的病毒

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十七次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

12 3 4

1 / 4 页

跳转页

[原创] 关于近期流行的那个改写MBR的病毒

本主题由大版主 baohe 于 2010-5-31 21:21:36 执行主题置顶/取消操作

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2010-05-21 12:15 \| 只看楼主短消息资料字号：小中大 1楼关于近期流行的那个改写MBR的病毒其实，这个病毒RIS2010早就报了（Trojan.Win32.Generic.12053A2D）。此毒在WINDOWS 7下基本不能运行，也不能改写MBR。为了揭开此毒的神秘面纱，看看它什么德行，俺只好重启到WINOWS XP下，看看它到底搞了些啥鬼花活。一、XP环境下实机运行病毒的结果： 1、双击病毒程序chajiangengxin.exe后，它在当前用户临时文件夹中释放一个xxx.txt文件。此处x代表阿拉伯数字。虽然是txt文档，但它却是可执行程序。不信？查看其MD5并与它“老爸”对比（图1）：图1.PNG (742.35 K) 2010-5-21 12:14:47 2、这病毒跟中招用户玩儿“障眼法”，汗！以致不少人认为“中此毒后的一个特征是windows\temp目录下反复出现alg.exe或ali.exe”。其实不是这么回事。看看病毒进程就明白了（图2、图3）：图2.PNG (607.32 K) 2010-5-21 12:14:47 图3.PNG (590.87 K) 2010-5-21 12:14:47 3、chajiangengxin.exe运行后多次访问网络（图4）图4.PNG (385.33 K) 2010-5-21 12:14:47 4、中招后，MBR确实被此毒改写了。图5为运行此毒前的MBR；图6为此毒运行后的MBR。图5.PNG (1072.52 K) 2010-5-21 12:14:47 图6.PNG (1088.40 K) 2010-5-21 12:14:47 5、该毒运行访问网络后，不知咋的就报错了！汗！（图7）图7.PNG (382.79 K) 2010-5-21 12:14:47 6、此毒改写过的win.ini（图8）：图8win_ini.png (152.84 K) 2010-5-21 12:14:47 7、此毒释放的文件（图9）：图9.png (2818.02 K) 2010-5-21 12:14:47 8、此毒运行后的注册表改动（图10）：图10.png (488.11 K) 2010-5-21 12:14:47 用户系统信息：Opera/9.80 (Windows NT 6.1; U; zh-cn) Presto/2.2.15 Version/10.10 baohe 最后编辑于 2010-05-21 12:18:54
baohe 大版主帖子:72578 注册: 2003-04-10 来自:	分享到：

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2010-05-21 12:15 \| 只看楼主短消息资料字号：小中大 2楼回复：关于近期流行的那个改写MBR的病毒二、手工收拾残局： 1、断网。结束病毒进程。删除win.ini。 2、删除病毒释放的文件，并用工具打扫注册表垃圾。 3、恢复MBR。这步操作要仔细、小心，不要搞错。可用BOOTICE之类的工具（操作见下图）。注意：我的电脑是XP＋WINDOWS 7双系统，所以在下图中勾选最后一个复选框。如果系统是XP，请勾选下图中的倒数第二个复选框。图11MBR.PNG (158.17 K) 2010-5-21 12:15:25 4、重启。重启后核对一下MBR，无误。OK！图5.PNG (1072.52 K) 2010-5-21 12:16:45 baohe 最后编辑于 2010-05-21 14:48:16
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

病毒4 叱咤花甲狮帖子:7290 注册: 2008-09-05 来自:	发表于： 2010-05-21 12:27 \| 短消息资料字号：小中大 3楼回复：关于近期流行的那个改写MBR的病毒这种毒感觉不是很厉害，就是改个MBR清理那些文件比较麻烦。。。
病毒4 叱咤花甲狮帖子:7290 注册: 2008-09-05 来自:

踩着草说肏初生襁褓狮帖子:1 注册: 2010-05-21 来自:	发表于： 2010-05-21 21:23 \| 短消息资料字号：小中大 4楼回复：关于近期流行的那个改写MBR的病毒我电脑用了一下U盘、然后图片、比如说保存到桌面、在打开一看的话、图片就会变样、能不能帮我解决一下
踩着草说肏初生襁褓狮帖子:1 注册: 2010-05-21 来自:

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-05-23 01:08 \| 短消息资料字号：小中大 5楼回复：关于近期流行的那个改写MBR的病毒不是猫叔，这个东东连接网络没有下载执行一些什么吗？感觉连接网络后，一般的会有点反映啊 Tiny应该有点反映把。。还有猫叔，你的那个Tiny是怎么把注册表和文件之类分开显示的啊，我的那个英文版本不知道咋分
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China

夲號ヱ被ジ盜叱咤花甲狮帖子:7083 注册: 2008-08-21 来自:昆仑琼华派	发表于： 2010-05-23 07:11 \| 短消息资料字号：小中大 6楼回复 5F jks_风的帖子逆向追踪功能然后用那个行为分析器结束逆向追踪，分析结果然后看就是
夲號ヱ被ジ盜叱咤花甲狮帖子:7083 注册: 2008-08-21 来自:昆仑琼华派

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2010-05-23 10:41 \| 只看楼主短消息资料字号：小中大 7楼回复: 关于近期流行的那个改写MBR的病毒引用: 原帖由 jks_风于 2010-5-23 1:08:00 发表不是猫叔，这个东东连接网络没有下载执行一些什么吗？感觉连接网络后，一般的会有点反映啊 Tiny应该有点反映把。。看图7-图8
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-05-23 14:44 \| 短消息资料字号：小中大 8楼回复: 关于近期流行的那个改写MBR的病毒引用: 原帖由夲號ヱ被ジ盜于 2010-5-23 7:11:00 发表逆向追踪功能然后用那个行为分析器结束逆向追踪，分析结果然后看就是谢谢~
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China

jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China	发表于： 2010-05-23 14:45 \| 短消息资料字号：小中大 9楼回复: 关于近期流行的那个改写MBR的病毒引用: 原帖由 baohe 于 2010-5-23 10:41:00 发表引用: 原帖由 jks_风于 2010-5-23 1:08:00 发表不是猫叔，这个东东连接网络没有下载执行一些什么吗？感觉连接网络后，一般的会有点反映啊 Tiny应该有点反映把。。看图7-图8 恩，貌似很多都是释放到临时文件夹
jks_风锋芒艾服狮帖子:2235 注册: 2009-12-17 来自:China

狂妄之龙拙长孩提狮帖子:110 注册: 2010-01-25 来自:自由圣域	发表于： 2010-05-24 20:50 \| 短消息资料字号：小中大 10楼回复：关于近期流行的那个改写MBR的病毒好厉害，学习了
狂妄之龙拙长孩提狮帖子:110 注册: 2010-01-25 来自:自由圣域

<<上一主题|下一主题>>

12 3 4

1 / 4 页

跳转页

页面顶部

Powered by Discuz!NT