瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 智取替换系统文件debug.exe、taskmgr.exe、comctl32.dll的病毒Gameeeeeee.exe

1   1  /  1  页   跳转

[原创] 智取替换系统文件debug.exe、taskmgr.exe、comctl32.dll的病毒Gameeeeeee.exe

智取替换系统文件debug.exe、taskmgr.exe、comctl32.dll的病毒Gameeeeeee.exe

系统背景:
1、Tiny文件防护中建立system_dlls组和My_Apps组,录入system32和dllcache目录下的所有dll和.exe。目的:监控这些系统dll、.exe的MD5。有此设置,系统DLL、.exe一旦被篡改,Tiny将显示。
2、用Tiny禁止注册表AppInit_DLLs项的写入。
3、放开Tiny有关文件防护、注册表防护的其它设置。



运行病毒样本Gameeeeeee.exe。

用Tiny查system32目录下的taskmger.exe、debug.exe和comctl32.dll3个文件的MD5,并与原先录入的相应文件的MD5比较,结果:均发生变化。说明病毒已经得逞。

查看Tiny的activity monitor日志(图1),病毒正在傻傻的写AppInit_DLLs,但总写不成。

乘机用IceSword将I386目录下的taskmger.exe、debug.exe和comctl32.dll分别拷贝到dllcache和system32目录下(图2、图3)。






再检查、对比这3个文件的MD5值。结果:与运行病毒前录入的相同。

结束病毒进程。删除windows目录下的四位随机字母.exe以及病毒从网络下载到system32目录的那堆病毒文件及相应的注册表项。完事。

用户系统信息:Opera/9.51 (Windows NT 5.1; U; zh-cn)
最后编辑baohe 最后编辑于 2008-08-15 23:04:53
分享到:
gototop
 

回复: 智取替换系统文件debug.exe、taskmgr.exe、comctl32.dll的病毒Gamee...



引用:
原帖由 aaccbbdd 于 2008-8-15 22:59:00 发表
猫叔新作
偶像呀
猫叔
整几个防AV终结者的瑞星杀毒软件的规则包吧
发到反病毒区顶置吧
tiny还是难了点


等啥时候瑞星的主动防御设置有了“程序分组”以及“文件MD5录入、监控”等等设置,我再玩儿瑞星主防吧。现在,玩儿瑞星主防----费劲!
gototop
 

回复: 智取替换系统文件debug.exe、taskmgr.exe、comctl32.dll的病毒Gamee...



引用:
原帖由 aaccbbdd 于 2008-8-15 23:21:00 发表
怕是主动防御的项目再多了
瑞星用户更晕
看到多如牛毛的提示,就吐血了
主动防御,是要用户参与的
但参与需要对系统及病毒了解
不了解,主动防御的后果很惨很严重
不是系统正常动作被拦截,就是对病毒一路绿灯  

用户设置问题。
若设置恰当,主防不会那麽BT。
gototop
 
1   1  /  1  页   跳转
页面顶部
Powered by Discuz!NT