天原工具箱1.9工具曾存在恶性病毒==问题已经基本解决，没有继续讨论必要了。

显示全部楼层 · 发表于 2011-7-6 12:28:21

本帖最后由冰轮于 2011-7-25 02:35 编辑

天原工具箱中1.9版本中存在恶性感染型病毒，不是误报。有图

如果大家测试了我的附件以及天原工具箱现有的原件确实是被染毒的，请到如下地址举报下载链接，
http://u.115.com/file/dn1acd3x
上面是天原作者提供的连接，请确认通过的举报该链接的资源，115网盘会对举报过多的资源进行封禁。

以下过程为本人在虚拟机中测试所得结果：

感染效果，exe程序增大38KB，可以从MD5中发现不同。

并且，感染后，杀毒软件报告病毒与第一张图相同，可以确定是感染型病毒。
此病毒在winsockxpfix.exe运行一段时间后才执行。
这是感染后，xuetr显示的启动项增加项，已知虚拟机中我没有安装迅雷

此外，此病毒对XUETR，powertools，j-task的执行具有干扰性，并可以感染。截图如下
这是正常的j-task执行情况

这是运行上述程序后j-task执行情况

可以看到j-task执行加载驱动被干扰，并且，多了一个文件 jiagexzs 大小为41KB
如果J-task此时运行在其他磁盘，有可能直接提示被感染而无法运行。
这是powertool正常执行情况

这是干扰的情况

这是正常的xuetr工作文件夹情况

干扰后，xuetr仍然可以正常执行，但是，xuetr工作时，并不会将驱动释放到当前目录

这是病毒要对文件进行感染，但是，由于我是只读分配数据空间，所以出现如下提示
上述感染成功的图片，是我手动将它要感染的程序复制到具有完全权限的目录才得以成功

感染成功后，图标不变，但是文件大小和MD5发生变化。

这是另一个木马，是释放到临时文件夹内的，可以确定不是杀毒软件误报，而且明显没有工具箱中要求的内容。

在临时文件夹中生成多个JPG，检测结果，jpg不过是改了扩展名，仍然可以被报毒。
这个木马可能是工具箱中其他程序释放出来的，与上面的不是一路。此外，在图中还可以看到木马释放了驱动
这是进程中的木马程序
可以看到还执行了系统的rundll32程序

hasher扫描情况，可以看到IE下载目录也存在病毒体

本人保留所有相关证据，此次事件不是程序bug，而是作品被捆绑了病毒，性质不同，希望引起重视。
请作者于24小时内予以处理，否则将视为作者故意传播计算机系统病毒，向网监部门进行举报。
如果有管理员看到此贴，请尽快处理此事。

附件为天原工具箱中的感染型程序，密码为arswp
请谨慎测试

WinsockxpFix.part1.rar (341.8 KB, 下载次数: 315)

显示全部楼层 · 发表于 2011-7-6 12:37:14

关注此事。。。。。。。

显示全部楼层 · 发表于 2011-7-6 12:52:30

关注

显示全部楼层 · 发表于 2011-7-6 13:01:21

有图有真相，关注后续

显示全部楼层 · 发表于 2011-7-6 13:11:09

请测试结束的筒子们尽快通知管理员，尽快解决此事。

显示全部楼层 · 发表于 2011-7-6 13:20:59

本帖最后由 zhou0197 于 2011-7-6 13:35 编辑

确认存在感染！

虚拟机+SD运行LZ提供的样本，开始的加驱，不正常，接着创建linkinfo.dll，很快出现了修改explorer内存的行为，然后，或许因为SD的原因，虚拟机突然断电关机…………这个不是好兆头。

PS：修复之后的正常文件运行均没有出现加文件，加驱和修改内存的行为！！！也没有关机……

大蜘蛛修复测试： QQ截图20110706131234.png