找下PowerTool的茬 (2)——使用PT 20秒检测并清除ZeroAccess的不可行性

m_direction

dl123100 发表于 2011-9-2 21:07
ZeroAccess有64位版，不过目前纯Ring3。

哦，看来这个rootkit很牛X啊，谢谢大牛解答哦

change_018

此帖各种神人出没...

左手

sanhu35 发表于 2011-9-2 21:48
...上了 啊

呵，我进来看一下MD区，其它的区，就偶尔逛逛。。
然后就去在线小说。
卡饭顶多呆半个小时。

sanhu35

左手 发表于 2011-9-3 10:18
呵，我进来看一下MD区，其它的区，就偶尔逛逛。。
然后就去在线小说。
卡饭顶多呆半个小时。

。。。很有规划啊   
唉   MD 不更新我也不是很想上

FreeEquFraT

强烈支持技术讨论

左手

sanhu35 发表于 2011-9-3 10:53
。。。很有规划啊   
唉   MD 不更新我也不是很想上

你还说我有规划？
呵呵。老婆说我不物正业。
天天就知道上网。
唉。。
所以现在上网还要节制。
看看小说，看看电影。差不多就关机了。

sanhu35

左手 发表于 2011-9-3 11:29
你还说我有规划？
呵呵。老婆说我不物正业。
天天就知道上网。

。。。那我能成网痴了

sanhu35

左手 发表于 2011-9-3 11:29
你还说我有规划？
呵呵。老婆说我不物正业。
天天就知道上网。

像我这种无车、无房、无钱、无好工作、无女友的  不抽烟、不喝酒、不赌博、不嫖 全无四不裸奔宅男， 只好美女和电脑上网 。
只能玩玩HIPS 倒弄倒弄规则，跟病毒作战啊！！！！！！

ithurricane

按照我的教程，不会有dl牛说的安全隐患。。。

dl牛去结束删除ADS流文件后的进程，
可是我的教程上面并没有这个步骤

按照我的步骤是可以清除上周的ZeroAcess的

再次感谢dl牛的技术分析了，膜拜dl牛~~~

当然新的变种，也要继续研究，呵呵

dl123100

ithurricane 发表于 2011-9-3 12:17
按照我的教程，不会有dl牛说的安全隐患。。。

dl牛去结束删除ADS流文件后的进程，

只能在你的环境清理你找到的ZeroAccess样本吧
别的不说 新点的硬盘遇到上周的ZeroAccess 最新的PowerTool连正常启动都不可能 而且没有清除那个服务
这两点已经
另外修复感染文件有些逻辑也是有问题的 考虑得比较简单 甚至是有安全隐患的