机器狗下的rootkit盗号程序微点发现可疑

显示全部楼层 · 发表于 2008-3-22 19:41:42

McAfee FURootkit

显示全部楼层 · 发表于 2008-3-22 20:04:48

kblog.rar 16.99/16.99KB 100.00% 在线扫描它是一个“Rootkit 木马”2008-3-22 20:04:20 2008-3-22 20:04:47

显示全部楼层 · 发表于 2008-3-22 20:09:39

过ArcaBit。

显示全部楼层 · 发表于 2008-3-22 21:23:29

0040175F |. 68 74424000 push kblog.00404274 ; /src = "59.34.131.54"
拿去玩吧

显示全部楼层 · 发表于 2008-3-22 21:39:49

这种累死的样本记得看过

显示全部楼层 · 发表于 2008-3-22 21:43:25

cr+h2h07m<776n0$.*96<,7h9'3);&8)#A1/.D?~!O:'|jcr5~CbP'(C]d&k!EPa(:&8)#A1/I2mpGeo/#"m<mfd)mwk"+~ZJSR(".择尗栖茨?匹徼).'cj|lc22;^
/H;&~G0#

复制代码

这是什么？

安照如下方法就可以手删掉病毒程序，之后重启计算机就可以，至于病毒驱动自删除了
0012F4EC 00401D8E  /CALL 到 DeleteFileA 来自 KBLOG.00401D88
0012F4F0 0012FB24  \FileName = "C:\Documents and Settings\mp\桌面\msdtx.sys"
0012F4EC 00401EFD  /CALL 到 DeleteFileA 来自 KBLOG.00401EF7
0012F4F0 0012FB24  \FileName = "C:\Documents and Settings\xx\桌面\kbdrv.sys"

另外这个木马的进程目前没有什么好工具可以结束，就连内核调试器ｗｉｎｄｂｇ都看不到它的进程，线程句柄也没有什么起色，所以估计用程序结束不是很简单

[ 本帖最后由黄金马甲出租于 2008-3-22 23:01 编辑 ]

显示全部楼层 · 发表于 2008-3-22 21:44:06

问一下
是不是未知驱动的加载微点是不拦截的

显示全部楼层 · 发表于 2008-3-22 21:48:22

为什么在可疑程序诊断里结束不了它的进程，也不能删除到隔离区里。

显示全部楼层 · 发表于 2008-3-22 22:00:57

对于病毒来说这是一种新的ｒｏｏｔｋｉｔ方式，很狡猾

显示全部楼层 · 发表于 2008-3-22 22:03:21

ca都报了
晕哦

[病毒样本] 机器狗下的rootkit盗号程序微点发现可疑

ｔｏ：１１楼

本帖子中包含更多资源

回复 27楼 lsyer 的帖子

[病毒样本] 机器狗下的rootkit盗号程序 微点发现可疑

ｔｏ：１１楼

本帖子中包含更多资源

回复 27楼 lsyer 的帖子

[病毒样本] 机器狗下的rootkit盗号程序微点发现可疑