发几个被感染的文件，问问大家的杀软能不能修复它，你的杀软能做到吗？

无尽藏海

NIS 2010无视

fatezero

Filename         Result
taskkill.exe          CLEAN

The file 'taskkill.exe' has been determined to be 'CLEAN'. Our analysts did not discover any malicious content.
Filename         Result
regedit.exe          CLEAN

The file 'regedit.exe' has been determined to be 'CLEAN'. Our analysts did not discover any malicious content.

hj5abc

regedit会下载一个木马。clean太牵强

bugman

原帖由 hj5abc 于 2009-8-18 17:33 发表


可怜的蜘蛛同样飘过...

to drweb,request for curing...

不过很奇怪，regedit只下载一个东西，taskkill没动作...

其实2个都一样，都会下载，感染后的文件就是相当于一个下载者。
regedit下载的地址是:hxxp://x.erewx.info/down/x9.exe，下载下来的文件保存在临时目录下5.tmp
而taskkill的下载地址为：hxxp://x.erewx.info/down/x7.exe,保存地址是临时目录下的6.tmp
其实下载的地址应该是hxxp://x.erewx.info/down/x*.exe，（*为数字，1，2，3等）
下载下来保存的地址为临时目录下的*.tmp，（*为数字，1，2，3等）

至于你说的taskkill没动作，可能因为下载地址失效了吧，我没测试。
当然也有可能是因为运行了regedit程序，创建的互斥体没有退出，导致你再次运行下一个样本的时候，就阻止你继续运行了。
其实感染后的样本流程很简单：
1.获取各所需的API，还原原始数据
2.执行个线程，创建互斥，然后下载，执行
3.跳回原入口，执行原来的程序。


再来说下修复，手动的修复方法有2种：
1.动态法：OD或其他动态调试器载入感染后的样本，直接在原来的头部F4，或者下硬件断点，再F9运行，再次断下后的程序就是正常的程序了。此时dump下来就可以了。
2.静态还原：比较麻烦，需要找各段的地址，具体地址动态跟下就能知道，其实数据都在，也没加密，只是被分散放到了其他地方。然后运行时候将他还原，以致不影响原程序。
用程序修复也不难，同样是2种方法：
1.动态法：
HANDLE hMap=CreateFileMapping(hFile,NULL,PAGE_READWRITE,NULL,NULL,NULL);
LPVOID lpBase=MapViewOfFile(hMap,FILE_MAP_WRITE,0,0,0);
PIMAGE_DOS_HEADER MyDosHeader=(PIMAGE_DOS_HEADER)lpBase;
PIMAGE_NT_HEADERS MyNtHeader=(PIMAGE_NT_HEADERS)((LONG)lpBase+MyDosHeader->e_lfanew);
DWORD  dwOEP=MyNtHeader->OptionalHeader.AddressOfEntryPoint;
上面的代码得到原来程序的入口地址，然后使用Debug API,设置下DR0和DR7的值，就可以了。最后dump 下来就是修复后的程序了。
CONTEXT cx;
cx.ContextFlags=CONTEXT_DEBUG_REGISTERS|CONTEXT_FULL;
cx.Dr0=dwOEP;
cx.Dr7=0x101;


2.静态修：
这样修可能更完美点，不过还是要像手动修那样，找到具体被存放代码的位置，再填回去。
大致看了下，懒得分析具体存放的规律了。

[ 本帖最后由 bugman 于 2009-8-18 21:37 编辑 ]

baijian_8d

呵呵，第八个男人终于出手了。

我纳闷的是，为啥一个可以修复的文件，其余几大厂商为何视而不见呢？有些厂商对该样本的特征码也不收集？

是修复太麻烦？还是修复风险大？

我对病毒的了解有限，但是国内4个杀软都能修复，说明不难，是不是国内的有白名单机制？判断出来属于被感染的文件，从而将其修复。

一年前，也有一个被感染的office可执行文件，卡巴提示需要删除，而不能清除，有幸碰到了mj0011，他帮忙把文件给修复了。

z2665

mse 清除

mcafee 月神kill一个，无法清除

NobleT

能清除

baijian_8d

原帖由 NobleT 于 2009-8-18 23:35 发表
能清除
605486

file  quarantined  是什么含义？ 清除? 隔离？ 删除？

你这个是什么杀软的？没看出来品牌。

hj5abc

蜘蛛可以修复了.