这个样本运行后很头痛。。。!

显示全部楼层 · 发表于 2010-10-25 19:09:25

本帖最后由 liulangzhecgr 于 2010-10-29 11:23 编辑

谁手杀样本区这个地址：http://bbs.kafan.cn/thread-821994-1-1.html 的病毒了吗？！

运行样本后，用EQ跟踪途中机器死机！无奈重启系统。。。已经出现怪现象！
这是EQ死机前的日志：

SYSTEM-2010-10-25.rar (1.21 KB, 下载次数: 147)

2010-10-25 19:20 上传

点击文件名下载附件

[XueTr][内核模块]: 131
驱动名  基地址  大小  驱动对象  驱动路径  服务名  加载顺序  文件厂商
可疑PE映像  0xF9C24000  0x00003000  -    -
可疑PE映像  0x8155D000  0x0000D000  -    -
可疑PE映像  0x81502000  0x0000D000  -    -
可疑PE映像  0x814EF000  0x0000F000  -    -

[XueTr][系统回调]: 27
回调入口  类型  路径  文件厂商  备注
0x814F08EB  LoadImage  未知模块

[XueTr][Atapi]: 29
序号  函数名称  当前函数地址  Hook  原始函数地址  当前函数地址所在模块
28  DriverStartIo  0x814F1292  atapi hook  0xF975E7C6  未知模块

XT中只发现这种异常现象！
用tdsskiller 杀不出啥玩意！文件快照好像不好使！（这是本人感受）
根据文件快照按照上午的查杀方法删除 c:\windows\crksja.dlll (修改日期好像都是为2005-3-3) 重启还是不好使！
补充：未命名6.JPG

但在dos下 fdisk /mbr 之后xt显示的比较明朗化！是否xt没有检查出。。。mbr被修改（有人说mbr被感染）？！
文件快照也是？！。。。在pe下对照的好像出差？！修复mbr后检测出 c:\windows\system32\dlo7c.dll （创建日期修改日期都是2010-10-25，在pe下我没有发现创建此文件。。。）

这是啥病毒能逃过文件快照？！（在pe下）
修复mbr后能看出服务！
未命名.JPG

还有一个疑问：
现在系统变正常啦！
找出问题时删除过系统盘的系统还原文件夹的东东！系统重启后老提示（因为EQ的缘故）。。。现在好啦！
可是现在进入系统时左面变成蓝色无图形！原先有个背景图案的！我删除啥文件而导致的呢？！

第二次运行样本时没有跟踪，结果样本让系统自动重启。。。！
重启后进程图：

第三次运行样本。。。跟第二次显示一摸一样！连文件名也一样。。。
杀完病毒修复系统还是在xt中不干净。。。

难道这是鬼影病毒？！好像不修复mbr...xt不会干净。。。

结论：毒霸坛友告诉我。。。
      1. 运行此样本后，此毒在硬盘尾部191个扇区直接写入的病毒代码。这些内容在中毒的WIN7 环境下不可见，但在WINPE环境下，用SECTOREDITOR可以看到。---剑盟朋友检查的！
      2.感染mbr
      3.是TDSS...但在我电脑上样本运行得很糟糕！没有充分发挥。。。驱动文件没被感染！
         ---新结论：不感染驱动级文件！
      4.第四次运行样本时没有自动重启的现象！请查看毒霸连接。。。！
      5.运行好样本的话，上述症状外还有附加的。。。
         加载驱动！system进程中插入线程，安装好多种全局钩子。。。
      6.此样本可以手杀干净！

毒霸论坛链接地址：http://bbs.duba.net/thread-22326213-1-1.html

显示全部楼层 · 发表于 2010-10-25 19:15:49

额你实机试毒？

显示全部楼层 · 发表于 2010-10-25 19:32:12

本帖最后由 liulangzhecgr 于 2010-10-26 08:22 编辑

wo1234 发表于 2010-10-25 19:15 额你实机试毒？

是啊！老古董嘛！
这是tdss 还是鬼影？！
xt来检测mbr是正常！文件快照比较文件没动sys文件！
好像全局安装钩子。。。！（死机没法继续跟踪。。。

）
运行此样本前上午运行过_tbp.EXE样本。。。那里有些杀软检测衍生物(_tbp.exe)是tdss
补充：未命名6.JPG

这个链接地址好像是衍生物（光根据文件名判断---我自己认为的）：
http://bbs.kafan.cn/thread-822010-1-1.html

显示全部楼层 · 发表于 2010-10-25 21:13:42

楼主好厉害！实机？

显示全部楼层 · 发表于 2010-10-25 21:21:11

啊！不懂！帮顶吧。

显示全部楼层 · 发表于 2010-10-25 21:35:45

啊啊....................实机！

显示全部楼层 · 发表于 2010-10-26 07:59:53

kafan988 发表于 2010-10-25 21:35
啊啊....................实机！

为什么实机运行样本大家都这么看。。。

大不了重做系统！我还原系统用3分钟左右够啊！
装不了虚拟机，叫我怎么办？！
不能总埋怨因电脑怎么怎么不行。。。没有学到？？吧？！

显示全部楼层 · 发表于 2010-10-26 19:41:51

LZ好胆大啊

显示全部楼层 · 发表于 2010-10-26 21:29:11

实机运行病毒，佩服你啊，据说TDSS很难手杀，直接格式化重新分区算了

显示全部楼层 · 发表于 2010-10-27 01:14:51

回复 1楼 liulangzhecgr 的帖子

实机，不想活了，，那个样本，几乎把虚拟机都搞烂了，你居然。。。。

认命吧

[已解决] 这个样本运行后很头痛。。。!