一个有趣的数据流病毒 - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛一个有趣的数据流病毒

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十七次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

1

1 / 1 页

跳转页

[原创] 一个有趣的数据流病毒

本主题由大版主 baohe 于 2011-8-30 9:40:07 执行主题置顶/取消操作

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-22 17:06 \| 显示全部短消息资料字号：小中大 1楼一个有趣的数据流病毒这个病毒的主要文件存放在一个名为$NtUninstallKB31750$文件夹中，样子很像安装补丁留下的DD。此文件夹的权限已被病毒封死。 1、病毒样本运行后释放的文件： 1.PNG (334.35 K) 2011-8-22 17:06:13 2.PNG (329.02 K) 2011-8-22 17:06:13 3.PNG (311.79 K) 2011-8-22 17:06:13 4.PNG (438.98 K) 2011-8-22 17:06:13 2、病毒样本运行后的注册表改动： 5.PNG (356.96 K) 2011-8-22 17:06:13 6.PNG (213.54 K) 2011-8-22 17:06:13 此外，微软还说这类病毒会随机更改系统驱动。但我没观测到。病毒运行后修改winlogon.exe、explorer.exe内存。另一个明显的中毒症状是：运行XueTr等辅助工具时，病毒会即刻结束程序进程，并取消该程序的访问权限。一个例外是：DesikGenius不受此毒影响。DesikGenius运行后，可以删除$NtUninstallKB31750$文件夹中的病毒文件以及windows目录下的那个附着病毒数据流的空文件1538892346。但$NtUninstallKB31750$文件夹无法删除（提示找不到路径）。 7.png (318.25 K) 2011-8-22 17:06:13 此外，位于$Recycle.Bin中的回收站也被病毒附加了病毒数据流。此毒忽略了系统自带的注册表编辑器。病毒完整运行后，regedit.exe仍可正常运行，且可看到病毒添加的注册表项，当然，也可删除这些项。但是，仅仅这样简单删除没用，因为重启或关机前，病毒会回写这些注册表项。但有一个土办法可以阻止病毒回写注册表项。即：自己建一个空文件，命名为taskmgr.exe，将其放到当前用户目录下，并取消taskmgr.exe的所有权限。 8.png (766.14 K) 2011-8-22 17:06:13 然后，再如上述操作，删除病毒文件及注册表项。重启，就行了。后来发现，放在当前用户目录下、被封死权限的那个空文件taskmgr.exe还有预防此毒的作用。事先安排好这个taskmgr.exe，再运行病毒样本，前述病毒动作均不能发生。 9.png (1142.17 K) 2011-8-22 17:06:13 10.PNG (279.81 K) 2011-8-22 17:06:13 用户系统信息：Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Trident/5.0) baohe 最后编辑于 2011-08-22 17:08:28
baohe 大版主帖子:72578 注册: 2003-04-10 来自:	分享到：

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-22 17:11 \| 显示全部短消息资料字号：小中大 2楼回复: 一个有趣的数据流病毒引用: 原帖由快乐男孩1233 于 2011-8-22 17:08:00 发表 powertool可以运行解决它吗？不行中此毒后， powertool 一运行，立即被病毒关闭，并将其访问权限封死。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-22 17:29 \| 显示全部短消息资料字号：小中大 3楼回复: 一个有趣的数据流病毒引用: 原帖由 networkedition 于 2011-8-22 17:24:00 发表猫叔试一下，xp系统实机运行一下这个病毒。ms能出现：病毒会随机更改系统驱动的情况。我的两台电脑，都彻底消灭了XP系统。又不敢在别人的电脑上玩儿毒。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-22 18:02 \| 显示全部短消息资料字号：小中大 4楼回复: 一个有趣的数据流病毒引用: 原帖由病毒4 于 2011-8-22 17:54:00 发表猫大爷数据流病毒是个咩呀样本（密码：123）附件: yangben.rar (2011-8-22 18:01:55, 179.22 K) 该附件被下载次数 549
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-23 08:49 \| 显示全部短消息资料字号：小中大 5楼回复 9F 奇缘の随风的帖子这是此毒“聪明”的一步动作：从系统目录拷贝一个taskmgr.exe到当前用户目录中。然后利用当前用户目录下的这个taskmgr.exe做坏事。如果用户开着UAC ，病毒这步貌似聪明的动作就是昏招
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-23 10:02 \| 显示全部短消息资料字号：小中大 6楼回复 11F 奇缘の随风的帖子当前用户目录下的那个taskmgr.exe是临时从系统中拷贝来的。病毒用完这个程序，即刻删除之。还有： C:\Documents and Settings\Administrator\wevtapi.dll 这个库文件（病毒的），你能逮住吗？俺逮住了如果想要，我可传上来。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-23 11:29 \| 显示全部短消息资料字号：小中大 7楼回复 13F 奇缘の随风的帖子这个wevtapi.dll 不是系统的。传到virustotal 扫————报毒（不止一家报）。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-08-29 08:52 \| 显示全部短消息资料字号：小中大 8楼回复: 一个有趣的数据流病毒引用: 原帖由魔兽高手于 2011-8-29 0:24:00 发表 taskmgr.exe不是任务管理器程序么，又不会自启动病毒用它做什么呢？怎么用它来干坏事的？另外，猫叔能把这个yangben.exe反汇编一下么附件是此病毒程序反汇编结果我不懂编程。完全看不懂。附件: 文件名:yangben反汇编.rar 下载次数:997 文件类型:application/rar 文件大小: 上传时间:2011-8-29 8:52:24 描述:rar
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

<<上一主题|下一主题>>

1

1 / 1 页

跳转页

页面顶部

Powered by Discuz!NT