[求助]各位谁有修改主页为3929的病毒样本给我一份！

molicn

告诉你最实际的去360恶意网站举报区，大把捞的

coderui

klnh，找到样本了，不用要了。

[ 本帖最后由 coderui 于 2008-9-24 15:47 编辑 ]

coderui

病毒运行后EXE主程序自我删除，然后释放一个DLL(文件名随机)和一个SYS(文件名随机)。
这是一个驱动级病毒，该病毒只有一个启动项，那就是驱动的服务。
驱动服务启动(Boot级)后，调用DLL组件运行(用rundll32.exe加载)。
驱动在运行过程中，会保护释放出来的DLL文件、SYS文件和系统HOSTS文件，使之不被修改、删除。还会监视保护自己的服务启动项(删除后会重新创建)。
该驱动的服务无法禁用、停止、终止。
驱动会设置系统IE浏览器的默认首页为“http://www.3929.cn/?tn=102731”。

coderui

这个病毒用PE盘很好杀，就2个文件，一个服务启动项。

专杀的话，正在写，这个需要驱动级的专杀，不然很难除掉它。

ldy144028

http://bbs.kafan.cn/thread-322298-1-1.html 这里有

coderui

样本下载地址：http://www.windows1995.cn/l9.exe.
下载时把连接地址最后边的“.”去掉，就可以下载了。
上边的地址是原病毒作者的，它会自动更新或删除，自己注意安全。
--------------------------------------------------------------------------------------------------
病毒升级了，刚打开看了一下新版的，文件大小：213754字节，MD5：3d7416b32d22435ac1f63be9c1aa44f2。

这个新版的内部核心没什么变化，只是在外边多加了层类似于壳的东西。
为什么说是类似于壳呢？因为它属于捆绑器，把一个DLL绑了进去。

新版的运行后，只是在临时文件夹中多释放了一个DLL文件“itb2.tmp”（这个文件是由外部壳释放出来的，应该也是个病毒，但我没分析），壳把“itb2.tmp”插入到了“explorer.exe”中运行，会连接网络。

coderui

刚看了下，病毒又还原回以前的了，好玩。
仔细分析了下样本，原来是“骇客的服务器”中毒了，中的感染型病毒。结果把自己挂的病毒都给感染了，我上午最开始下载回来的是被感染后的病毒样本，汗。