金山木马专杀360木马专杀xuetr PT在这个面前全部浮云了

显示全部楼层 · 发表于 2012-6-17 21:52:23

本帖最后由 00315 于 2012-6-17 22:09 编辑

先看中毒现象

感染驱动

这个驱动是提取出来的，现在可以看到属性里的选项，在中毒电脑里是没有任何选项的，用户无法操作，xuetr没有操作权限，PT在这个中毒环境下加不了驱，360顽固木马专杀查不出异常，金山专杀处理不了，卡巴专杀查不出异常。
replace命令替换不了
据中毒者说重装好几次系统也没解决，因该是MBR被改了

在PE下替换文件，重置MBR问题解决，异常的MBR被中毒者在PE下备份到X盘

，拿不到了

母体没有逮到

显示全部楼层 · 发表于 2012-6-17 22:00:24

驅動文件：
AVG 損壞的可執行文檔；
Kingsoft & Norton 漏過。

显示全部楼层 · 发表于 2012-6-17 22:17:37

360论坛公布的那个MBR，http://bbs.360.cn/3229787/254193442.html?layer=1

显示全部楼层 · 发表于 2012-6-17 22:45:22

guidanba 发表于 2012-6-17 22:17
360论坛公布的那个MBR，http://bbs.360.cn/3229787/254193442.html?layer=1

这个不错

显示全部楼层 · 发表于 2012-6-17 22:59:14

00315 发表于 2012-6-17 22:45
这个不错

大肉鸡wowocock的杰作。。。MBR修复利器

显示全部楼层 · 发表于 2012-6-17 23:16:59

本帖最后由 wjcharles 于 2012-6-17 23:19 编辑

这种改MBR的，用windows安装盘启动，fixmbr应该能解决吧？然后再修复安装一下

显示全部楼层 · 发表于 2012-6-17 23:26:47

你要是能逮到母体还能测下主防

显示全部楼层 · 发表于 2012-6-17 23:30:56

本帖最后由老虎猫于 2012-6-17 23:34 编辑

楼主，把样本去整来，你把中毒现象发出来很多人手痒痒的........

显示全部楼层 · 发表于 2012-6-18 11:01:11

因为没有样本，有的只是中毒后的残缺扇区信息。根据这部分信息分析，猜测写了个免疫程序。免疫后重启，就可以用急救箱里的顽固引导专杀修复MBR了。

显示全部楼层 · 发表于 2012-6-18 11:11:23

wowocock 发表于 2012-6-18 11:01
因为没有样本，有的只是中毒后的残缺扇区信息。根据这部分信息分析，猜测写了个免疫程序。免疫后重启，就可 ...

现在捕获母体是关键，最近这个问题的还不少

[病毒样本] 金山木马专杀360木马专杀xuetr PT在这个面前全部浮云了

本帖子中包含更多资源