小毒一枚，就是格式有点怪

显示全部楼层 · 发表于 2012-5-26 08:14:12

360

显示全部楼层 · 发表于 2012-5-26 12:21:48

zhou0197 发表于 2012-5-25 23:47
是通过autorun.inf，不过是一个很诡异的autorun.inf。

一般的autorun.inf不到1KB，conficker的有50几 ...

额，我刚在那个区回你了...查到这个毒应该不难，因为是同学的U盘，然后用学校机房的360杀毒1.0版本杀到的，呵呵，所以觉得该毒比较老了。顺便问下，此毒的破坏性是？（一开始插到机房的电脑，没用360去杀掉他，我只看到报警，然后同时插上我的U盘，反正最后我的U盘也没有感染）

显示全部楼层 · 发表于 2012-5-26 12:22:38

hx1997 发表于 2012-5-26 00:01
应该是有个 EXE 的 dropper，dropper 释放出这个 DLL，然后写入 autorun.inf 并替换一个系统服务的 DLL ...

这个是通过360杀毒1.0的隔离区还原出来的，难道是白+黑？

显示全部楼层 · 发表于 2012-5-26 12:23:13

，就一个. 发表于 2012-5-26 00:06
BD启发拦截，下面是病毒介绍... BitDefender实验室发现了一个新版本的蠕虫病毒名为Win32.Worm.Downadup.B 。 ...

这...问题是当我同时插两个U盘的时候，另一个没有感染...

显示全部楼层 · 发表于 2012-5-26 12:38:39

本帖最后由 hx1997 于 2012-5-26 12:39 编辑

小丑鱼ZZW 发表于 2012-5-26 12:22
这个是通过360杀毒1.0的隔离区还原出来的，难道是白+黑？

不是，这只是个很古老的蠕虫，没有什么白加黑。

微软的威胁百科中的介绍。
http://www.microsoft.com/securit ... Win32%2fConficker.B

翻译一小段：

技术信息（分析）

Worm:Win32/Conficker.B 是一个通过利用 svchost.exe 中的漏洞传播的蠕虫。如果漏洞被成功利用，在文件共享开启时可能会执行远程攻击代码。它还可以通过可移动设备和弱管理员密码传播。它禁用几个重要的系统服务和安全软件。

负载

修改系统设置
禁用 TCP/IP 调优，结束并禁用服务
重置系统还原点
检查网络连接
随意下载文件

系统更改

下列系统更改可能显示您的计算机已经感染了此恶意软件：

下列服务被禁用或无法运行：
Windows Update Service
Background Intelligent Transfer Service
Windows Defender
Windows Error Reporting Services

一些帐户可能因为下列注册表更改被锁定：
在子键: HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 设置值: "TcpNumConnections 为: "0x00FFFFFE"

显示全部楼层 · 发表于 2012-5-26 12:39:44

hx1997 发表于 2012-5-26 12:38
不是，这只是个很古老的蠕虫，没有什么白加黑。

微软的威胁百科中的介绍。

OK ,谢谢了

显示全部楼层 · 发表于 2012-5-26 13:15:39

小丑鱼ZZW 发表于 2012-5-26 12:21
额，我刚在那个区回你了...查到这个毒应该不难，因为是同学的U盘，然后用学校机房的360杀毒1.0版本杀到的 ...

破坏性倒是不强，不过传播性很厉害。局域网传播很快的…………

显示全部楼层 · 发表于 2012-5-26 14:19:26

小A杀之。。。

显示全部楼层 · 发表于 2012-5-26 15:35:11

360杀..hitman pro未发现威胁...

显示全部楼层 · 发表于 2012-5-26 21:02:32

瑞星2012杀

[病毒样本] 小毒一枚，就是格式有点怪

本帖子中包含更多资源