刚跟‘蝉鸣时’学会解密网马，上一个

显示全部楼层 · 发表于 2010-7-27 16:50:26

网页解密啊……[:26:]

hunters路过

显示全部楼层 · 发表于 2010-7-27 17:18:02

不行啊 mpav kill

显示全部楼层 · 发表于 2010-7-27 19:04:30

"C:\Documents and Settings\桌面\bbbb.exe.dec.rar:\bbbb.exe.dec.exe";"特洛伊木马 Generic18.AOLL";"已移至病毒库"
"C:\Documents and Settings\桌面\bbbb.exe.dec.rar";"特洛伊木马 Generic18.AOLL";"已移至病毒库"

显示全部楼层 · 发表于 2010-7-27 19:07:17

本帖最后由 an_ant 于 2010.7.27 19:08 编辑

AVIRA Kill
[检测] 是 TR/Crypt.ZPACK.Gen 特洛伊木马

显示全部楼层 · 发表于 2010-7-27 19:21:55

误会呃，我没教楼主...

传送门：
蝉鸣时发表于 2010.7.27 16:47

我是不明真相的群众

显示全部楼层 · 发表于 2010-7-27 19:36:51

MPAV：Trj.W32.Gen.huo

显示全部楼层 · 发表于 2010-7-28 17:50:20

还好，我的还么下载就提示连接损坏，

显示全部楼层 · 发表于 2010-8-4 12:48:06

偶在虚拟机中测试了一下。
用mymonitor工具，得到如下行为：
打开文件 "c:\documents and settings\administrator\桌面\bbbb.exe.dec.exe"  "成功"
用替换的方式拷贝 "c:\documents and settings\administrator\桌面\bbbb.exe.dec.exe" 到 "c:\windows\system32\bbbb.exe.dec.exe"  "成功"
以隐藏窗口的方式启动进程 "c:\windows\system32\bbbb.exe.dec.exe"
创建文件 "C:\rec.bat"  "成功"
写入文件 "C:\rec.bat"  "成功"
以隐藏窗口的方式启动进程 "C:\rec.bat"

rec.bat内容如下：
@echo off

@rem 延时3秒再执行删除命令

ping -n 5 127.0.0.1

del /f /q c:\documents and settings\administrator\桌面\bbbb.exe.dec.exe

del /f /q %0

看不出有什么危害。

[病毒样本] 刚跟‘蝉鸣时’学会解密网马，上一个