远控木马【关键是启动项加的牛逼--二楼有查杀方法】

显示全部楼层 · 发表于 2017-2-12 18:15:39

电脑发烧友发表于 2017-2-12 18:11
没发现路经么？我也一直在&# ...

没发现，注册表相关启动位置就没找到文字(包括路径）和样本一样的东西

显示全部楼层 · 发表于 2017-2-12 18:33:01

本帖最后由 hyabcd 于 2017-2-12 18:52 编辑

vm001 发表于 2017-2-12 18:15
没发现，注册表相关启动位置就没找到文字(包括路径）和样本一样的东西

主要问题在它生成的那个oci.dll.MSDTC服务启动时会加载oci.dll,木马劫持掉了这个dll，可以看下这篇博文http://blogs.360.cn/360safe/2016/10/24/hook007autostart/
然后BITS服务的启动应该会带MSDTC服务起来，你把BITS服务禁了看看

显示全部楼层 · 发表于 2017-2-12 19:23:47

hyabcd 发表于 2017-2-12 18:33
主要问题在它生成的那个oci.dll.MSDTC服务启动时会加载oci.dll,木马劫持掉了这个dll，可以看下这篇博文 ...

问题是把病毒劫持的oci.dll（木马文件）删除了也不行

显示全部楼层 · 发表于 2017-2-13 08:51:35

本帖最后由 lixihong10 于 2017-2-13 09:13 编辑

电脑发烧友发表于 2017-2-12 13:26
【白旗】 @lixihong10

实机跑不动。

虚拟机试试：

修改svchost 内存 COMODO又拦截失败了，哎。
然后执行sc修改服务。

显示全部楼层 · 发表于 2017-2-13 10:37:00

lixihong10 发表于 2017-2-13 08:51
实机跑不动。

。。。。。具体是怎么自启动的？我们搞不懂，还有如何解决。。。。。。。求助啊。。。。

显示全部楼层 · 发表于 2017-2-13 11:50:05

电脑发烧友发表于 2017-2-13 10:37
。。。。。具体是怎么自启&# ...

拦截掉他修改服务不就无法启动了？

显示全部楼层 · 发表于 2017-2-13 16:12:27

lixihong10 发表于 2017-2-13 11:50
拦截掉他修改服务不就无法启动了？

我没记错的话，不行。拦截了还是会自启。

显示全部楼层 · 发表于 2017-2-13 21:11:51

本帖最后由 vm001 于 2017-2-13 23:25 编辑

此病毒的手工杀毒方式，删除$MSRecycle.Bin下的衍生物病毒文件是必须的。。
然而这不算是处理完美，关键是病毒劫持bits服务来达到开机启动病毒，而这个和之前说的在注册表一点关系没有。
这个关键是通过数据劫持的，恶意文件路径C:\ProgramData\Microsoft\Network\Downloader下的qmgr0.dat和qmgr1.dat2个文件被加载了恶意的东西。而由于bits服务启动的时候要读取这个，所以正好读取了恶意内容造成启动了指定的木马程序，我们的错里方式就是删除它，文件默认没有权限，所以我们赋予当前用户完全控制权限，利用工具从svchost.exe解锁，或者停用bits服务后删除即可，删除C:\Windows\System32下的oci.dll然后问题就彻底解决了

显示全部楼层 · 发表于 2017-2-14 11:24:35

MSE 断网
Server.exe
Infected: Trojan:Win32/Dynamer!ac

显示全部楼层 · 发表于 2017-2-14 11:41:35

vm001 发表于 2017-2-13 21:11
此病毒的手工杀毒方式，删除$MSRecycle.Bin下的衍生物病毒文件是必须的。。
然而这不算是处理完美，关键是 ...

很赞

[病毒样本] 远控木马【关键是启动项加的牛逼--二楼有查杀方法】

本帖子中包含更多资源