收藏本站 |切换到宽版 | 更换论坛皮肤
 找回密码  忘记邮箱  QQ快速登录  快速登录  快速注册

卡饭»论坛 › 安全区 › 病毒样本 分享&分析区 › 一个U盘autorun样本（.vbs），大家来分析下~
12下一页
返回列表 发新帖
查看: 3905|回复: 18
收起左侧

[可疑文件] 一个U盘autorun样本（.vbs），大家来分析下~

[复制链接]
weieii
发表于 2009-12-5 21:46:47 | 显示全部楼层 |阅读模式
别说我孤陋寡闻哈，最近老是碰到这类病毒（先叫他病毒），大家来分析看看告诉我，我弄不明白哈~



初步估计它还能更改“文件夹选项”里 显示隐藏文件及文件夹的设置 。

样本压缩包密码：point

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

尤金卡巴斯基
发表于 2009-12-5 22:09:44 | 显示全部楼层
To KL
回复

举报

zzhao
发表于 2009-12-5 22:12:34 | 显示全部楼层
to avira
回复

举报

adad2008
头像被屏蔽
发表于 2009-12-5 22:14:19 | 显示全部楼层
kv报vbs病毒
回复

举报

BING126
头像被屏蔽
发表于 2009-12-5 22:17:23 | 显示全部楼层
McAfee 全灭。。
回复

举报

ray1106
发表于 2009-12-5 22:37:52 | 显示全部楼层
红伞爆了一个
回复

举报

RandomOS
发表于 2009-12-5 22:46:53 | 显示全部楼层
本帖最后由 RandomOS 于 2009-12-5 23:09 编辑

隐藏分区根目录下所有文件夹，并为分区根目录下所有文件夹创建快捷方式指向C盘下一个vbs病毒副本。此vbs执行的同时还会打开快捷方式对应的文件夹。
以下是病毒对注册表的更改

Values added: 10
--------------------
HKEY_LOCAL_MACHINE\software\classes\clsid\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\explore\command
  (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" EMC
HKEY_LOCAL_MACHINE\software\classes\clsid\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\command
  (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" OMC
HKEY_CURRENT_USER\software\classes\Local Settings\Software\Microsoft\Windows\Shell\MuiCache
  (SZ) C:\Windows\system\svchost.exe =Microsoft (R) Windows Based Script Host
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\Explorer\BrowseNewProcess
  (SZ) BrowseNewProcess =yes
HKEY_CURRENT_USER\software\Microsoft\Windows NT\CurrentVersion\Windows
  (SZ) Load ="C:\Windows\System32\smss.exe:1594700103.vbs"
  (SZ) Ver =1
  (SZ) Date =2009/12/5
Values changed: 22
--------------------
HKEY_LOCAL_MACHINE\software\classes\Applications\iexplore.exe\shell\open\command
  Old: (SZ) (Default) ="C:\Program Files\Internet Explorer\iexplore.exe" %1
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" OIE
HKEY_LOCAL_MACHINE\software\classes\batfile\shell\open\command
  Old: (EXPAND_SZ) (Default) ="%1" %*
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" %1 %*
HKEY_LOCAL_MACHINE\software\classes\chm.file\shell\open\command
  Old: (EXPAND_SZ) (Default) ="%SystemRoot%\hh.exe" %1
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" %1 %*
HKEY_LOCAL_MACHINE\software\classes\clsid\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
  Old: (SZ) (Default) ="C:\Program Files\Internet Explorer\iexplore.exe"
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" OIE
HKEY_LOCAL_MACHINE\software\classes\inifile\shell\open\command
  Old: (EXPAND_SZ) (Default) =%SystemRoot%\system32\NOTEPAD.EXE %1
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" %1 %*
HKEY_LOCAL_MACHINE\software\classes\regfile\shell\open\command
  Old: (EXPAND_SZ) (Default) =regedit.exe "%1"
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" %1 %*
HKEY_LOCAL_MACHINE\software\classes\txtfile\shell\open\command
  Old: (SZ) (Default) =C:\Windows\notepad.exe %1
  New: (EXPAND_SZ) (Default) =%SystemRoot%\System32\WScript.exe "C:\Windows\explorer.exe:1594700103.vbs" %1 %*

病毒还将自身以NTFS流形式附到系统关键进程上，让人不便删除。另外该病毒vbs是自变形的。
回复

举报

jetflt
发表于 2009-12-5 22:50:04 | 显示全部楼层
让人不便删除。另外该病毒vbs是自变形的
回复

举报

RandomOS
发表于 2009-12-5 23:08:22 | 显示全部楼层
EQ日志

2009-12-05 22:53:45    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
注册表名称:Load
更改后:"C:\WINDOWS\system32\smss.exe:2075451338.vbs"
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\txtfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\inifile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\inffile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\batfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\cmdfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\regfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\chm.file\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\hlpfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN
注册表名称:CheckedValue
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
注册表名称:CheckedValue
触发规则:所有程序规则->*

2009-12-05 22:53:46    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\txtfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\inifile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\inffile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\batfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\cmdfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\regfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\chm.file\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\hlpfile\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CLASSES_ROOT\Applications\iexplore.exe\shell\open\command
注册表名称:[Default]
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN
注册表名称:CheckedValue
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
注册表名称:CheckedValue
触发规则:所有程序规则->*

2009-12-05 22:53:50    修改注册表内容      操作:使用任务隔离区操作
进程路径:C:\WINDOWS\system32\wscript.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
注册表名称:NoDriveTypeAutoRun
触发规则:所有程序规则->*
回复

举报

jayavira
发表于 2009-12-6 09:31:47 | 显示全部楼层
ess 全kill

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有帐号？快速注册

x
回复

举报

下一页 »
12下一页
返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2026-4-20 00:57 , Processed in 0.073678 second(s), 2 queries , Redis On.

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究，不得将上述内容用于商业或者其他非法用途，否则产生的一切后果自负，本站信息来自网络，版权争议问题与本站无关，您必须在下载后的24小时之内从您的电脑中彻底删除上述信息，如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表