导致exe文件名出现~的感染型病毒(千橡互联流氓软件)
以下来自cnBeta.COM（作者）：
MJ0011的技术分析和投递:
自从之前投递过千橡互联的流氓软件感染EXE以及修复工具后,见:
千橡互联流氓软件感染exe病毒图形界面查杀工具 完美修复被感染EXE
千橡互联流氓感染EXE文件 (附修复程序)
不断收到网友报告的不同变种,也在不断升级着我的专杀工具,就在QIHOO和YAHOO两只虎不断在ROOKIT领域PK的时候,千橡也在不断升级着自己感染EXE的手段,我也在不断完善自己的专杀工具,从cmd版本到gui版本,一直到前不久发布的gui 1.5版本,智能查杀引擎可以查出所有可能变种,并完全修复各个可能变种的被感染EXE到原有状态
终于,可能千橡可能看到简单的变换感染方式和EXE结构已经不能躲过专杀,终于出绝招了
今天早上一个朋友给我的变种大大出乎我的意料
引用鲁迅先生的一句话:
==================================================================
我向来是不惮以最坏的恶意,来推测中国人的,然而我还
不料,也不信竟会下贱到这地步
==================================================================
这个变种居然在感染EXE后直接把原来的EXE数据丢弃掉!只将原来EXE的图标替换为自己
导致被感染的EXE全部变为只有108544字节(106KB左右)
原来被感染的EXE会释放出被感染前的EXE文件,前面加上~,比如cmd.exe,会释放出cmd~.exe
这个版本,也是会释放出*~.exe,但是这个exe当然不会是原来的EXE(已经被丢弃了),而是它自己,然后这个东西会去几个网站下载这两个文件,并运行
19790205.exe
cert.exe
这两个都是包含了千橡互联两个主打流氓软件:IE-BAR,dmcast的安装包
也就是用户机器上的exe都会被直接替换为这个下载器,然后运行被感染后的EXE(文件图标和被感染前一致)
由于原exe文件数据已被丢弃,恢复已是不可能的
现在好象还没有杀毒软件对该变种报毒
但是即使报毒也是没有可能修复原文件的了
我的专杀也仅能检查到该变种存在,无法对exe进行修复了
只能对千橡说一句:人不能无耻到这种地步!!
