局域网内恶性病毒斗争纪

hetven

原帖由 dsd1982 于 2007-12-19 18:58 发表
不要以为我是编出来这个故事

只是你没亲眼见过设计这莫好的病毒罢了


http://bbs.kafan.cn/viewthread.p ... tra=page%3D1&page=1

那个帖子样本不全 很多其他文件加下衍生伍它也没给你提供

希望帖主能将 ...

我不知道LZ现在有什么防毒软件可以查杀的?前天卡巴期基一点没应也没有.而且中毒后不能运行.NOD32能查出根目录下的Autorun.inf但同样不能查杀~.exe和LASSA和SMSS.

你有可以在PE下运行的Windows清理助手吗

[ 本帖最后由 hetven 于 2007-12-19 20:51 编辑 ]

dsd1982

1在局域网内必须装arp防火墙

2红伞查的病毒文件要多于卡巴  哈哈

3截断优盘自动运行传染 禁用cmd    安全模式在注册表里的相关值禁止写入删除  映像劫持注册表里的相关值禁止写入删除 这些都是正常时的预防

[ 本帖最后由 dsd1982 于 2007-12-19 20:22 编辑 ]

BING126

McAfee报了！

dsd1982

隔了一个月 终于有证据支持了

样本区最慢的速度了

qianwenxiang

先让exe执行在看行为是不是和我说的一样

让你的杀软杀掉exe就太没意思了 精彩的在感染后面

他那个样本我在SBIE里面执行了，LSASS是下载者，不过貌似没有下载成功，一直在下，直到把RPC服务搞瘫痪为止，后来打开任何一个程序都出现0x7c3?????引用0x00000不能为written的错误..其他的没反应..不过没有发现感染的动作..

dsd1982

你是区域网吗

他是在局域网里的病毒机通过arp传播

恐怕你那没有第一台被感染的当母机吧

dsd1982

原帖由 qianwenxiang 于 2007-12-19 20:31 发表

他那个样本我在SBIE里面执行了，LSASS是下载者，不过貌似没有下载成功，一直在下，直到把RPC服务搞瘫痪为止，后来打开任何一个程序都出现0x7c3?????引用0x00000不能为written的错误..其他的没反应..不过没有发现感 ...

的确有下载器 而且很多的 就像是我说的以量取胜

我们的经验是 好像感染成功后后当你运行]任何程序时都会激活病毒 继续感染 他会在system32/com文件夹下生成一个bak文件把你执行的exe替换到那留一份 用户实际是自己执行了病毒

[ 本帖最后由 dsd1982 于 2007-12-19 20:52 编辑 ]

qianwenxiang

不在局域网 否则我就给人骂死了..

dsd1982

原帖由 hetven 于 2007-12-19 20:08 发表



我不知道LZ现在有什么防毒软件可以查杀的?前天卡巴期基一点没应也没有.而且中毒后不能运行.NOD32能查出根目录下的Autorun.inf但同样不能查杀~.exe和LASSA和SMSS.

你有可以在PE下运行的Windows清理助手吗

这样吧 清理助手是绿色的是可以在pe下运行的
我建议你拔掉网线以后直接用

以我们的经验他要在启动后几秒后才能劫持退出 你先在好的电脑上报清理助手升到最新版 在zip打包考过来

改名运行就行了 不用需要pe 关键还是最后要全面查毒和加arp防火墙 组策略禁用cmd

对 好像这家伙会删掉winrar 你最好还是再pe下考个winrar备用 它想的还很周全

[ 本帖最后由 dsd1982 于 2007-12-19 21:05 编辑 ]

dsd1982

此病毒好像专门针对360进行过陷阱设计 大家用360 kaka什么的要小心被人算计

例如网关被欺骗后即使是到360官网下载也有可能是下载到一个同为setup。exe的文件
但是只有88kb 其实就是病毒本体 让你以为是360安装包 手一块自己执行就挂了

或者是下补丁时会下载一个kb345556 等和补丁名相识的exe文件 利用360下载万补丁就自动安装的特性自动进你机子