可怕的程序。

显示全部楼层 · 发表于 2008-8-11 09:08:25

原帖由 promised 于 2008-8-10 21:16 发表
DOS下删除%windir%\system32\config目录下SAM文件

只删除这个文件是没用的。试验过了。

把%windir%\repair 目录下sam文件拷到%windir%\system32\config目录下

这个做法可以用ADMINISTRATOR 进入系统，但原来的用户FGHYT却没有了，用户数据库还在，必须新建立一个用户，再把原来用户的数据库复制到这个新用户才可以。比较麻烦。

其实此程序只是修改了注册表中的一个项目：
2008-08-11 09:02:51 注册表保护(创建注册表值) 操作:阻止
进程路径:C:\WINDOWS\system32\lsass.exe
注册表路径:HKEY_LOCAL_MACHINE\SECURITY\RXACT
注册表名称:Log

重启到winPE系统，把gho备份中的%windir%\system32\config目录下的SECURITY，SECURITY.log这两个文件复制到%windir%\system32\config这里替换即可一切正常，比较快而且方便。可以用原来用户登录。

显示全部楼层 · 发表于 2008-8-11 09:15:56

不是病毒也是恶意程序, 卡巴该报的, 454 不报, 还反什么恶意程序

显示全部楼层 · 发表于 2008-8-11 10:15:19

应该是 killLogon 的样本

显示全部楼层 · 发表于 2008-8-11 18:09:19

红伞给我的信件说是CLEAN

再上报?

显示全部楼层 · 发表于 2008-8-11 20:11:06

这个貌似是我写的测试程序[:27:]

其实并不是改密码，而是去除用户的登陆权限

怎么会被扔到这里当毒了...........

显示全部楼层 · 发表于 2008-8-11 21:01:35

没贴图啊

显示全部楼层 · 发表于 2008-8-11 22:03:06

file:///C:/DOCUME%7E1/ADMINI%7E1/LOCALS%7E1/Temp/moz-screenshot.jpg操作失败呢！郁闷！

显示全部楼层 · 发表于 2008-8-12 01:30:17

删完后交互式登陆无法使用，安全模式也登录不了，弄得我GHOST了，早知道把EQ打开。。。郁闷

显示全部楼层 · 发表于 2008-8-12 07:19:16

原帖由 rappar 于 2008-8-11 20:11 发表
这个貌似是我写的测试程序[:27:]

其实并不是改密码，而是去除用户的登陆权限

怎么会被扔到这里当毒了...........

。。。。。。。。
玩笑开大了

显示全部楼层 · 发表于 2008-8-12 09:10:38

又是恶搞程序

[病毒样本] 可怕的程序。