Disk Murderer批处理脚本

python无名氏

额。。。潜水了这么久也没见人发，那我就发了吧！
密码：infected

这名字，磁盘杀手，好中二
来自Bilibili UP主：ceeyouabc
这个毒其实很简单
（我改了一下，要不然win10运行不了...）
源码需要往下一直巴拉才能看到
加了一大堆垃圾码，就比如说最前面的:3中的批处理脚本就都是C++代码，但里面的东西都不会执行。
主要代码就只有标签setup以及最下面的那一串作者说是

:: 底下都是屎，别看了，只是用来卡你的加载速度的
:: 实际上在运行时候不会被执行

这不是普通的答辩，这是一串base64
程序将这坨答辩使用certutil -decode命令解码，然后运行。
那坨答辩解密后的文件threatbook:
https://s.threatbook.com/report/ ... 231d97986922b6bb586
解密后的答辩释放出了C:\Users\Administrator\AppData\Local\Temp\EB55.tmp\EB56.tmp\EB57.bat
根据命名特征和目录...是battoexe无疑了
然后又放出了一个
C:\Users\Administrator\AppData\Roaming\DiskMurder.exe
和
C:\Users\Administrator\AppData\Roaming\EDriver64.sys
C:\Users\Administrator\AppData\Local\Temp\~sfx0035268D18\Minecraft Token Generator.exe
C:\Users\Administrator\AppData\Roaming\EDriver32.sys
作者大概是找了个正常文件用battoexe的资源功能导入+释放，然后又搞了个DiskMurder.exe来焯掉MBR吧
(话说这些个杀软难不成都是拉黑？我就只改了两个引号就只剩eset一家报啦？)

莒县小哥

ShotGun

KFA Trojan.BAT.Agent.bur

Gan-aww

卡巴kill
事件: 对象已删除
用户: NT AUTHORITY\SYSTEM
用户类型: 系统用户
应用程序名称: SearchProtocolHost.exe
应用程序路径: C:\Windows\System32
组件: 文件反病毒
结果说明: 已删除
类型: 木马
名称: Trojan.BAT.Agent.bur
精确度: 确切
威胁级别: 高
对象类型: 文件
对象名称: Disk Murderer.txt
对象路径: C:\Users\ASUS\Desktop
对象的 MD5: 1B9E32FF8DFB1A5DA27309390886586F

火绒双击kill，扫描扫不出来

熊小度

360 miss

846472713

AVG

3801187

kuroandsan

wwwab

本来就是一坨答辩

bat只是一个释放器dropper，释放出来的两个exe可执行程序文件才会修改mbr

但是你看看这两个exe都多久之前了，免杀吗？



就是答辩，谁还拦不住这坨衍生物。。。改个毛mbr啊，说白了就是这人拿个老毒做了一个trojan-dropper

dght432