没反应

亡灵之月

回复 20楼 你想怎样 的帖子

是最新的D版么？

你想怎样

亡灵之月 发表于 2010-10-25 19:46
回复 20楼 你想怎样 的帖子

是最新的D版么？

还是C版测试的 ,   

测完了才知道D版已经推出了

√×√×√√×

jinzijie 发表于 2010-10-25 18:32
回复 14楼 leisong 的帖子

驱动是没加载，IE被替换为oc后缀的文件，并把系统后缀扩展名隐藏了，伪装自己 ...

刚好测试了下D版依旧被过，研究了下该样本。流程基本如下：

创建以下文件：
C:\Documents and Settings\Administrator\Local Settings\Temp\isttyc.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\nsf26.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\nsj25.tmp
C:\Documents and Settings\Administrator\Local Settings\Temp\nsu27.tmp\System.dll
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\CE93ZPEF\setup[1].exe （联网下载某安装程序）
C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\DP29Z4NI\setup[1].exe（同上）
C:\Documents and Settings\All Users\桌面\Internat Explorar.oc（修改IE为OC文件）
C:\Program Files\Microsoft\Internat Explorar\Desktop.ini（修改桌面配置文件）
C:\Program Files\Microsoft\Internat Explorar\target.lnk（创建快捷方式）
C:\WINDOWS\system32\drivers\hzualwh.sys（创建了服务）
C:\WINDOWS\system32\xfweuks.dll

创建病毒进程
C:\Documents and Settings\Administrator\Local Settings\Temp\aaxccn.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\isttyc.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\krzjuj.exe

在C:\Documents and Settings\Administrator\Local Settings\Temp\  下创建并使用了多达9个批处理配合使用，这是过主动的关键，分别是：
jzsqkk.bat
zjvkbf.bat
moeiyg.bat
kpwvygop.bat
temp_tmp.bat
rohuuafu.bat
wauslsb.bat
obzzddzc.bat
utgtthr.bat

调用进程：
explorer.exe（并没有被插入）
cmd.exe
ping.exe
conime.exe

安装并打开服务
hzualwh
Remote Access Connection Manager (创建联网）
System Event Notification（跟踪系统联网事件）

调用COM项创建
{7B8A2D94-0AC9-11D1-896C-00C04FB6BFC4} COM项创建 Security Manager
{00021401-0000-0000-C000-000000000046} COM项创建 快捷方式

写入注册表
HKCR\ocfile\shell\open\command\\  （这项大家都懂的）
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\\HideFileExt
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\ShellFolder\\Attributes
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7b6a2e90-8a8c-11df-86e0-806d6172696f}\\BaseClass
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\AppData
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Cache
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Cookies（联网下载时产生的）
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\\Desktop
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\MigrateProxy
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\AutoDetect
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\IntranetName
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\ProxyBypass
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\\UNCAsIntranet
HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache\\@C:\WINDOWS\system32\SHELL32.dll,-22914 （重要，修改了SHELL32）
HKCU\Software\Microsoft\Windows\ShellNoRoam\MUICache\\@shell32.dll,-21779

以下是病毒创建服务时的hzualwh项
HKLM\System\CurrentControlSet\Services\hzualwh\\DisplayName
HKLM\System\CurrentControlSet\Services\hzualwh\\ErrorControl
HKLM\System\CurrentControlSet\Services\hzualwh\\ImagePath
HKLM\System\CurrentControlSet\Services\hzualwh\\Start
HKLM\System\CurrentControlSet\Services\hzualwh\\Type

基本就是这些了。。。。。囧，写这个好累又没人看。

jinzijie

回复 23楼 √×√×√√× 的帖子

用什么看的？

√×√×√√×

jinzijie 发表于 2010-10-25 20:42
回复 23楼 √×√×√√× 的帖子

用什么看的？

囧，逆向跟踪。。。。

jinzijie

回复 25楼 √×√×√√× 的帖子

总得有软件观察吧

√×√×√√×

jinzijie 发表于 2010-10-25 20:45
回复 25楼 √×√×√√× 的帖子

总得有软件观察吧

囧，Interactive Disassembler~

jinzijie

√×√×√√× 发表于 2010-10-25 20:48
囧，Interactive Disassembler~

囧，好玩

huazi922

有些看不懂,也不想懂了

dyl210

回复 27楼 √×√×√√× 的帖子

为了测试bsd给不给力，我直接实机解压，选择暂不处理。不过。。。为何仅仅是创建了个假ie？还是可以删掉的，我重启之后卫士快扫表示干净。。。这到底是我悲剧了还是病毒悲剧了？