一个锁机病毒，求破解出密码

TheYuCheng

yjwfdc 发表于 2018-10-25 09:43
mbr密码 DwWFOZz5 系统密码没空看。

密码好像是随机的，有ID
能不能破解出算法

yjwfdc

TheYuCheng 发表于 2018-10-25 12:37
密码好像是随机的，有ID
能不能破解出算法

随机的也可以，用电脑速度卫士可以看到前四位，如果想看全部，用电脑速度卫士提mbr上来。

wowocock

yjwfdc 发表于 2018-10-25 12:40
随机的也可以，用电脑速度卫士可以看到前四位，如果想看全部，用电脑速度卫士提mbr上来。

在VMWARE里测试了下，由于这程序是反虚拟机的，所以需要设置下，绕过他的检测。他的EXE里生成密码是有一定的算法，虽然加了VMP没仔细去看，但应该是每运行一次，写到MBR里是不同的ID，和密码，但MBR里密码校验是固定的，所以有MBR就能看到对应的密码，用我的工具也可以直接解锁。同时他也会增加一个用户，这个用户密码可以通过PE下的密码清除工具去掉密码登录，但原来的存在用户被他设置了组策略，导致很多功能异常。修复比较麻烦。同时还会写启动项，并会清空其他盘的文件，并写入木马程序，反正是各种恶心你的事。
[CAutoRun]Repair By ARR_V
        [70]        C:\Program Files\System.dll
        MD5:37dfc15d6496c3d3b5432f14ff9b6944

        径:SOFTWARE\Wow6432node\Microsoft\Windows\CurrentVersion\Run

        名:System

        值:C:\Program Files\System.dll

        类别:开机启动项 处理:移除文件 结果:1

[CPathCheck]Repair By RDF!
        [70]        File:D:\360.exe
        MD5:37dfc15d6496c3d3b5432f14ff9b6944

        类别:文件目录 处理:清除木马 结果:1

Kaspersky用户

AVAST扫描KILL

yjwfdc

wowocock 发表于 2018-10-25 14:16
在VMWARE里测试了下，由于这程序是反虚拟机的，所以需要设置下，绕过他的检测。他的EXE里生成密码是有一 ...

在我这里，其它盘的文件没有删除，不过写入了一些乱七八的文件，都是一k的，系统就要重装了，禁止了很多功能。

www-tekeze

yjwfdc 发表于 2018-10-25 22:54
在我这里，其它盘的文件没有删除，不过写入了一些乱七八的文件，都是一k的，系统就要重装了，禁止了很多 ...

编辑掉，回复里@你也行。

www-tekeze

wowocock 发表于 2018-10-25 14:16
在VMWARE里测试了下，由于这程序是反虚拟机的，所以需要设置下，绕过他的检测。他的EXE里生成密码是有一 ...

刚做了个试验，1. 退出火绒，只用@yjwfdc 的速度卫士保护MBR。 2. 只用火绒阻止写磁盘保留扇区，其它动作全部允许，( 动作实在太多，就不截图了 )。。。两种结果都一样，重启后不会被锁机，只是增加了个QQ用户，接着用火绒快速扫描，修复了13项风险，大部分问题没有了，但留下两项没解决，一个是用户自己装的应用，图标全变成红钻，估计得删了图标缓存然后重建，另一个大问题是资源管理器被锁 (动了组策略? ) ，点任何磁盘或文件夹都没有权限打开，这个可能得用命令行重建一个用户了。。。

真要中了这种毒，我宁可选择重装算了。。。没用360卫士试过，不知能否全部修复，明天抽空试下，还有管家。

wowocock

www-tekeze 发表于 2018-10-25 23:52
刚做了个试验，1. 退出火绒，只用@yjwfdc 的速度卫士保护MBR。 2. 只用火绒阻止写磁盘保留扇区，其它动作 ...

的确很难修复。还好我用VMWARE测试，如果真机的话，基本只能新建用户了。至于图标的话，恢复问题不大，[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\DefaultIcon]
@="%1"。
恢复为这个默认值即可。

心心相印

sep kill

www-tekeze

wowocock 发表于 2018-10-26 09:57
的确很难修复。还好我用VMWARE测试，如果真机的话，基本只能新建用户了。至于图标的话，恢复问题不大，[H ...

试了下，我是32位8.1，那个图标文件在System32下，但恢复默认的%1还是没用哦，( 火绒系统加固对这个动作还有个保护 ) 。。。老大，你前面说这个样本反VM，看你也装得VBox，这个样本不反VB。。。另外，你怎么还能打开急救箱文件夹，我这里被锁了，火绒没修复。