内核级恶魔病毒— 磁碟机样本（已找到专杀+rappar大师纯手工解决方案）

显示全部楼层 · 发表于 2008-3-2 22:32:36

McAfee MISS

显示全部楼层 · 发表于 2008-3-2 22:46:58

不是映像劫持，是垃圾消息

如果病毒把安全模式也干掉呢

其实可以利用一下传说中的软件限制策略+dll改名大法，不需其它工具

[ 本帖最后由 rappar 于 2008-3-2 22:59 编辑 ]

显示全部楼层 · 发表于 2008-3-2 22:51:20

这个就是传说中eq可以防御的垃圾消息？？？
表现就是无限多的lass.exe进程？

显示全部楼层 · 发表于 2008-3-2 22:58:38

楼主试试KV2008吧

测试过程:1、关闭kv2008 2、运行病毒 3、等病毒充分作用再重启 4、kv2008提示c:\w\s32\com\下的lsass.exe有动作，加入黑名单，土匪头子被擒，一切OK

要点1、病毒无法禁止KV运行。2、KV是系统级的杀软，内核优先级绝对比这个病毒高。3、KV内置的工具病毒也无法破坏，手动杀毒比较容易。

KV2008对付磁碟机这个毒太容易了，虽然兼容性有些差。

补充一下，这个毒被删除后反复写入对KV2008来说无效，这是KV2008强的地方之一，忘了说，KV删掉了dnsq.dll

[ 本帖最后由 T-G001 于 2008-3-2 23:15 编辑 ]

显示全部楼层 · 发表于 2008-3-2 23:20:56

去瑞星去剑盟，N多人都手杀掉了
常去这些地方逛逛，没有杀不了的毒

显示全部楼层 · 发表于 2008-3-2 23:21:56

组策略被删了，这个变种...

显示全部楼层 · 发表于 2008-3-2 23:26:57

覆盖Registry.pol，强制刷新即可

显示全部楼层 · 发表于 2008-3-2 23:30:33

发消息的貌似是dnsq.dll这个东西
全局插进程

显示全部楼层 · 发表于 2008-3-2 23:36:00

原帖由 gankeyu 于 2008-3-2 21:25 发表
佛云“难者不会，会者不难”

刚刚试过，延迟删除此方法无效~

显示全部楼层 · 发表于 2008-3-2 23:40:48

原帖由 ALEXBLAIR 于 2008-3-2 22:19 发表
[:27:] 其实icesword打不开是因为采用了镜像劫持，改个名字就可以拉~~~
欧把icesword.exe改为pagefile.exe，和那个小鬼的名字一样就可以启动了。[:26:]

然后用is的进程限制，逐个取消lsass.exe的反复注入。

...

本来我就是改名叫888.exe了，觉得你说的有道理，又改成pagefile.exe试了下，事实证明无效~~

[病毒样本] 内核级恶魔病毒— 磁碟机样本（已找到专杀+rappar大师纯手工解决方案）

回复 29楼 ALEXBLAIR 的帖子

回复 32楼 rappar 的帖子

回复 32楼 rappar 的帖子

回复 36楼 lengxue624 的帖子

回复 33楼 ALEXBLAIR 的帖子

本帖子中包含更多资源

[病毒样本] 内核级恶魔病毒— 磁碟机 样本（已找到专杀+rappar大师纯手工解决方案）

回复 29楼 ALEXBLAIR 的帖子

回复 32楼 rappar 的帖子

回复 32楼 rappar 的帖子

回复 36楼 lengxue624 的帖子

回复 33楼 ALEXBLAIR 的帖子

本帖子中包含更多资源

[病毒样本] 内核级恶魔病毒— 磁碟机样本（已找到专杀+rappar大师纯手工解决方案）