驱动级恶意程序样本，大家来测试下

显示全部楼层 · 发表于 2009-7-27 23:27:35

瓦斯曲+浏览器权限
一切防住！

显示全部楼层 · 发表于 2009-7-28 07:52:25

运行后没有出现安装介面，而是在系统目录下创建exe文件。

2009-07-28 07:49:08 创建文件操作:阻止并结束进程
进程路径:E:\eXeScope_6[1].50_SC\eXeScope_6.50_SC.exe
文件路径:C:\WINDOWS\system32\dl_205474.exe
触发规则:所有程序规则->WINDOWS文件夹设置->%windir%\system*\*.exe

显示全部楼层 · 发表于 2009-7-28 07:56:33

原帖由悠柚于 2009-7-27 09:13 发表
我用universal extractor提取了一下

测试这个就可以了吧？不过这病毒应该太老了吧，我22日的微点，刚解压就删掉它了。还未运行。这应该是特征码杀掉的吧。

显示全部楼层 · 发表于 2009-7-28 11:40:38

动作还挺多

一会试下能不能手动干掉

显示全部楼层 · 发表于 2009-7-28 12:45:17

原帖由 冰比冰水冰 于 2009-7-27 11:19 发表
不联网的情况下未见更改主页·
因在局域网中，测试时未联网·

不联网不会修改主页的，运行后先创建dl_205474.exe，然后利用dl_205474.exe联网下载ywwahvb.exe（此文件为随机名），运行ywwahvb.exe创建加载驱动jhebd.sys（其中有几个批处理，略~），修复很简单，，先用sreng，启动项-服务-驱动程序，找到服务名为wqah的，删除重启后到system32\drivers\下找到这个驱动删除。然后找到system32\xWdE.dll，删除即可！

生成物

[ 本帖最后由 yangdw 于 2009-7-28 13:23 编辑 ]

显示全部楼层 · 发表于 2009-7-28 13:13:06

Dr.web抓了

eXeScope_6.50_SC\eXeScope_6.50_SC.exe/data002 已被病毒感染： Trojan.DownLoad.41525

[病毒样本] 驱动级恶意程序样本，大家来测试下

本帖子中包含更多资源