发现病毒，修改系统日期为198x年

aaaaqw

发现个新病毒，修改系统日期为198x年。现把病毒码献上，希望牛人出个解决方案。 菜鸟勿下！！！
解压密码：virus

dou.zi.cn

自动往内存加载FSAAN.EXE文件。那其他文件是什么啊。 有壳。脱壳不会。

yyasong

修改时间为1980年的病毒 by mopery (zz)

http://hi.baidu.com/mopery/blog/ ... 349801203f2e3a.html

又是个U盘病毒..文件名随机..

具体写个分析..
运行样本生成文件
C:\WINDOWS\Listsas.txt
C:\WINDOWS\saslogww.txt
C:\WINDOWS\*.exe
X:\*.exe
X:\Autorun.inf

X=C D E F H .... *=大小写字母随机命名

修改注册表
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\WINDOWS\system32\userinit.exe,c:\WINDOWS\*.exe"

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000000

生成注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=hex:95,00,00,00

访问网站
http://www.sinavip.net/A.asp?Id=5540850987
http://www.lcsm.cn/nami.htm

Listsas.txt
内容为
4002http://www.sinavip.net/k1.rar
4003http://www.sinavip.net/ma.rar
30"http://www.lcsm.cn/nami.htm"
31"http://www.jing88.com/1ndex.asp"
31"http://www.ishici.com"

listsas.txt 与 服务器上 http://www.sinavip.net/list.txt 同步..
内容一样..

系统时间被更改.. 年份被更改为 1980 年..这样能导致一些软件无法使用..

连网下载
C:\WINDOWS\003.exe
C:\WINDOWS\002.exe
同时生成
C:\WINDOWS\002.txt
C:\WINDOWS\003.txt

处理方法:(安全模式操作)
删除文件
C:\WINDOWS\002.exe
C:\WINDOWS\002.txt
C:\WINDOWS\003.exe
C:\WINDOWS\003.txt
C:\WINDOWS\Listsas.txt
C:\WINDOWS\saslogww.txt
C:\WINDOWS\*.exe
X:\*.EXE
X:\Autorun.inf

修复注册表..
[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
CheckedValue 编辑改成 1

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
Userinit 编辑改为 C:\WINDOWS\system32\userinit.exe, 2000系统改为 C:\WINNT\system32\userinit.exe,

删除注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]

over...

wss4203

最好上报卡巴～～

aaaaqw

已上报，谢谢各位！

ffjjyy

NOD报了啊


程式建立一個新檔案時發生事件 C:\Program Files\WinRAR\WinRAR.exe. 檔案已被移到隔離區。請傳送檔案到ESET作分析。

野马

早上运行了一个,已被东方微点杀,但系统时间还是显示1980,这个解压时杀了,系统时间正常!

vmzy

小红伞报了
elAPd.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
FMmJs.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
FSAAn.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
huUwY.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
kbLjb.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
VJzNc.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
WzCer.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
XbzQu.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen
zQASi.exe
      [DETECTION] Is the Trojan horse TR/Delphi.Downloader.Gen

gggh

KIS6.00.307还没报报警

文东会

用卡巴查了一下，显示为worm.win32.Fujack.a病毒，并且已经处理。是它改了时间的吗？