中招了，发个感染的文件上来！

显示全部楼层 · 发表于 2009-3-28 09:46:04

昨天运行了一个样本，监控，扫描咖啡都不报。运行完了一堆行为，咖啡的systemguard号称可疑监测添加启动项的行为的，结果也没报。手动结束病毒进程以后重启，发现咖啡挂了，用Autoruns一检查，添加了一堆IFEO。清掉IFEO咖啡恢复正常，但是该不报的还是不报！

今天才发现，Chrome都被感染了！咖啡09带月光，依然飞过…………

发出来大家看看，注意一下，谁家的杀软能清除病毒，恢复原来文件的，最好跟帖说一声！

显示全部楼层 · 发表于 2009-3-28 10:04:31

TO AVIRA

显示全部楼层 · 发表于 2009-3-28 10:32:07

貌似是个BMW病毒？？
我机子上一个都跑不起来。只能凭感觉修复。
修复了1个，看看能否运行？
不行的话多提供几组样本，最好是有对照性的。

显示全部楼层 · 发表于 2009-3-28 10:41:13

2009-3-28 10:42:13 1238208133 Administrator 2020 Sign of "Win32:Imponex [Wrm]" has been found in "d:\我的文档\桌面\chrome.rar\chrome.exe" file.

显示全部楼层 · 发表于 2009-3-28 10:46:29

原帖由 ximo 于 2009-3-28 10:32 发表
貌似是个BMW病毒？？
我机子上一个都跑不起来。只能凭感觉修复。
修复了1个，看看能否运行？
不行的话多提供几组样本，最好是有对照性的。

呵呵，好厉害啊~！的确能运行了。比对了原文件，应该是一样的。
你是手动修复的？
我这里也是运行不起来。幸好运行不了，不然还发现不了已经被感染了，肯定又会重复感染！
另外两个似乎没有被感染……

显示全部楼层 · 发表于 2009-3-28 10:53:58

我觉得这个被感染了吗？
Chrome.exe的PE文件头貌似被涂掉了，2楼怎么修复的。

显示全部楼层 · 发表于 2009-3-28 10:55:52

卡巴不报

显示全部楼层 · 发表于 2009-3-28 11:03:10

其实很简单，根本不需要反汇编分析，因为也分析不了（因为被感染的文件无PE头）。
所以无奈之下只能从16进制编辑器下手。
我的思路是：
要么PE头被抹掉了，要么PE头被挪到了某个地方。
既然如此就开始在16进制编辑器里搜索PE头特征，前2个字节4D5A（MZ），哈哈，总算搜索到了，原来在某个位置躺着。现在思考是在前面加了垃圾信息呢还是移位了呢？简单分析了一下可知，后面的PE结构都是完整的，包括IAT,资源等等信息都在，所以猜测只是在原PE头前添加了点垃圾东西，故只要删掉前面的东西，保存即可！

显示全部楼层 · 发表于 2009-3-28 11:09:23

奇了怪了。。我这里刚开始怎么搜不到MZ..

显示全部楼层 · 发表于 2009-3-28 11:17:12

原帖由 gankeyu 于 2009-3-28 11:09 发表
奇了怪了。。我这里刚开始怎么搜不到MZ..

哈哈，莫非是传说中的RP问题。。。开玩笑的，呵呵

[病毒样本] 中招了，发个感染的文件上来！

本帖子中包含更多资源

本帖子中包含更多资源