123   3  /  3  页   跳转页

[原创] 又一个改写MBR的病毒（TDSS TDL4）

收藏
本主题由 大版主 baohe 于 2011-2-23 8:47:44 执行 主题置顶/取消 操作
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2011-04-14 10:38 | 只看楼主 短消息 资料
字号： 小 中 大 21楼

回复: 又一个改写MBR的病毒（TDSS TDL4）



引用:
原帖由 天月来了 于 2011-4-14 9:41:00 发表
你不知道呢，我们这农村的县城里的修电脑的也是糊涂虫，为了挣钱，遇到引导区的，都是要用户换硬盘的，我都见过好几个了。

我自己都向朋友要了一个修理的说坏了的160G硬盘呢，修复引导区以后用的好好的。 



二嫂聪明啊！


你用的硬盘，以后就找那些傻冒供应吧。
gototop
 
暴风一号
头像
飘泊而立狮
  • 帖子:530
  • 注册: 2010-02-01
  • 来自:浙江宁波
发表于： 2011-04-23 20:53 | 短消息 资料
字号： 小 中 大 22楼

回复：又一个改写MBR的病毒（TDSS TDL4）

一旦怀疑中MBR病毒 只要用DOS命令或分区工具里修复或重新写MBR就可以了
这种MBR病毒，一般没有可以找到的病毒体。因为此病毒已经在启动系统的时候，已经启动了。通常杀毒软件有点“力不从心”了。建议升级到WIN7，目前这种病毒还是针对XP的
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2011-04-23 21:08 | 只看楼主 短消息 资料
字号： 小 中 大 23楼

回复: 又一个改写MBR的病毒（TDSS TDL4）



引用:
原帖由 暴风一号 于 2011-4-23 20:53:00 发表
一旦怀疑中MBR病毒 只要用DOS命令或分区工具里修复或重新写MBR就可以了
这种MBR病毒，一般没有可以找到的病毒体。因为此病毒已经在启动系统的时候，已经启动了。通常杀毒软件有点“力不从心”了。建议升级到WIN7，目前这种病毒还是针对XP的



WIN7 就不会中引导区病毒？你说的是鬼影吧？


TDSS TDL4和鬼影不是一码事。


我这个帖子就是在WIN7 系统中实机运行TDSS TDL4 样本后写的。
gototop
 
湖心小筑
头像
拙长孩提狮
  • 帖子:130
  • 注册: 2006-08-28
  • 来自:
发表于： 2011-04-28 23:10 | 短消息 资料
字号： 小 中 大 24楼

回复：又一个改写MBR的病毒（TDSS TDL4）

你上次分析的样本交流区里的那个，我在xp下运行后直接用卡巴专杀杀后，重启硬盘末尾的卡巴不会置0，但重启后未尾病毒的也没有被加载执行，进入系统用xuert也没有驱动项中也没有可疑的东东，说明卡巴的专杀可以处理。这个新的变种不知道能不能杀，楼主可否提供一下样本。

卡巴专杀为官网下载的最新版的

我另外测试了直接在PE下修复MBR也可以搞定你前面的样本。不用把硬盘末尾置0

不知道硬盘末尾的病毒是否也是靠前面的MBR引导定位后才能执行，如果说不用他完全可以不改MBR使病毒更隐密，这个只是个人猜想。
gototop
 
菜菜菜菜菜
头像
健康舞勺狮
  • 帖子:242
  • 注册: 2003-06-04
  • 来自:
发表于： 2011-05-13 14:38 | 短消息 资料
字号： 小 中 大 25楼

回复：又一个改写MBR的病毒（TDSS TDL4）

MBR....
如果是GPT的卷呢?
天生免疫还是两败俱伤(病毒运行不起来,系统也运行不起来)
gototop
 
<<上一主题|下一主题>>
123   3  /  3  页   跳转页
页面顶部
Powered by Discuz!NT