真机试毒，揭露流氓！-------转自roustar31【图片已上传】

显示全部楼层 · 发表于 2012-2-21 21:06:57

本帖最后由江鱼979 于 2012-9-28 10:43 编辑

首先，我要说的是：之所以转这个帖子，是因为昨天我的机器不幸中招了！！在霏凡论坛软件区下载的软件！自己系统装的是NOD4.2和卡巴1.81防火墙。奇怪的是，nod居然没报！只是不时跳出个警告，说禁止某某网页指向。。。

以下为转帖：

前言：本人WIN7 SP1,EAV5.0+毛豆防火墙5.9+毛豆时光机

下午在霏凡论坛逛了逛，发现一个软件：http://bbs.crsky.com/read.php?tid=2305710&fpage=2（为了你的安全请不要下载这个软件）
开始还以为别人转载我的软件：http://www.repaik.com/read.php?tid-16564.html，仔细看回复不对劲呀，有人说有木马，我就想到了可能有人修改我的软件加东西进去了
于是开始下载他的软件进行测试
这个真的强大了，我的软件是19.6M，他的这个是87.6M
看图：左边为本论坛的，右边为修改的

图片:1.png
论坛原帖子，注意发布时间和上面的修改日期符合

图片:3.jpg
论坛的上传地址，同样符合。

图片:4.jpg
开始运行，原来是把我的软件改个名字封装进去，看图：

图片:3.jpg
释放的路径为CF文件夹根目录：

图片:4.jpg
运行一个批处理1.bat：

图片:5.jpg
批处理1.bat位置和内容：

图片:7.jpg
同时释放一个media.exe文件到：C:\Program Files\Common Files\microsoft shared\Media下面（这个文件权限为所有人都无法删除）：

图片:6.jpg
接下来病毒开始发作，运行media.exe：

图片:9.jpg
整个过程ESET无反应，直到弹出一个窗口组织了一个地址：

图片:10.jpg
然后发现无法上卡饭，VC52，等论坛，一开始以为网络问题，多方折腾无果，想到可能hosts文件被篡改，定位到hosts文件目录（此期间etc目录被重新设置为系统+隐藏属性，正常的是系统属性，没有隐藏属性），打开hosts文件，看到一大堆乱码：

图片:11.png
想了很多方法都看不到内容，后来请出Powertool才看到内容：

图片:12.jpg
完整的hosts文件限于pw论坛字节限制，无法发出
之后卡饭都论坛无法访问，很多论坛被劫持到113.10.223.102，访问了一下：（为了你的安全，请不要访问）

图片:13.jpg
之后病毒开始发作，直接调用系统底层关机函数关掉了我的电脑，重启发现exe文件关联被破坏：

图片:14.jpg
桌面空白，右键菜单无法调出，任务管理器无法调出，开始菜单的关机选项里面只有注销一个选项。

图片:15.jpg
尝试进PE修复关联无果后，使用毛豆时光机恢复了系统到14号。

此人恶意打包本论坛原创软件，加入病毒目录，病毒自动修改hosts文件，屏蔽多数杀软网站和专业安全论坛，劫持几百个网站到113.10.223.102，破坏系统文件和exe文件关联，损坏电脑数据。

提示：请勿真机测试此病毒软件，另外也不要用毛豆防火墙的沙盘测试这个病毒软件，这个软件对毛豆的沙盘做了处理，沙盘无法运行。

显示全部楼层 · 发表于 2012-2-21 21:10:14

看不到图了

显示全部楼层 · 发表于 2012-2-21 23:03:24

显示全部楼层 · 发表于 2012-2-21 23:45:56

这转帖真坑爹

显示全部楼层 · 发表于 2012-2-22 00:01:27

管理员权限目测你给它管理员权限了

显示全部楼层 · 发表于 2012-2-22 06:47:21

图片回头编辑，公司这边浏览器有问题。不好意思

显示全部楼层 · 发表于 2012-2-22 11:47:19

论坛问题，图看不到

显示全部楼层 · 发表于 2012-2-22 12:00:51

图全挂了

显示全部楼层 · 发表于 2012-2-22 12:05:10

下载地址呢？霏凡论坛不开放注册啊

显示全部楼层 · 发表于 2012-2-22 12:18:55

修改的31的东西看到过

[文章转载] 真机试毒，揭露流氓！-------转自roustar31【图片已上传】