实验中的技术（更新到2.0）

显示全部楼层 · 发表于 2008-2-2 15:24:40

把rar改成exe
运行后除了调用cmd就没有什么动作了

显示全部楼层 · 发表于 2008-2-2 15:26:02

貌似有的...用BAT组合出灰鸽子GrayBird.exe然后执行..

显示全部楼层 · 发表于 2008-2-2 15:28:28

ms可以用put把N个文件连起来的我这儿禁用了WSCRIPT，结果运行时候提示找不到脚本宿主。。

显示全部楼层 · 发表于 2008-2-2 15:32:11

IK
I:\virus\virus.rar:\graybird.199 - Signature 'Virus.Win32.Hupigon.OH' found
I:\virus\virus.rar:\graybird.000 - File is maybe corrupt
II:\virus\virus.rar

204 Files scanned
(1 Archiv with 203 files)
1 Signature found
0 Suspect code-parts found
Used time: 0:03.938

显示全部楼层 · 发表于 2008-2-2 15:32:45

问题是，这么做有什么意义
你扫描是过，文件最后又从新组成，在组成之后，监控又干掉了
对于做免杀的来说，一点意义都没有。。
而且还把文件分成这么多块，也不利于传播，万一里面的一个文件丢失的话。。

显示全部楼层 · 发表于 2008-2-2 15:33:41

运行那个js文件是把文件恢复到了windows，监控马上就XX掉了。。

显示全部楼层 · 发表于 2008-2-2 15:35:35

扫描报告
2008年2月2日 15:34:53 - 15:34:56
计算机名称: CN-89FF4B9EA4D6
扫描类型: 扫描指定目标
目标: C:\WINDOWS\GRAYBIRD.EXE

--------------------------------------------------------------------------------

结果: 发现1个恶意软件
Backdoor.Win32.Hupigon.hsp (病毒)
C:\WINDOWS\GRAYBIRD.EXE 操作: 已重命名

显示全部楼层 · 发表于 2008-2-2 15:41:47

内存上的技术我还没学
第一步是让别人计算机上有病毒文件先过扫描
然后才是试图过内存监控

显示全部楼层 · 发表于 2008-2-2 15:45:08

最后总的dump到硬盘上，你怎么免杀，只要有磁盘操作，杀毒软件就能给你砍掉
除非你让他就呆在内存里面，从新启动一下就没了

显示全部楼层 · 发表于 2008-2-2 15:51:52

我的想法是这样的
1先把病毒弄到电脑上，用这技术过扫描
2用内存技术过监控（还不会，上大学再说吧，如果学计算机的话）
3做该做的事

[病毒样本] 实验中的技术（更新到2.0）

回复 11楼 woai_jolin 的帖子

回复 18楼 jehovah_king 的帖子