1 TDSS

显示全部楼层 · 发表于 2010-12-5 19:17:25

该马有一定的技术含量，值得研究研究。
1、小小的mbr，该马居然做了简单加密处理。
2、用户使用工具查看主引导扇区，看到的是假象。
3、直接修复mbr，不能成功，需要光盘启动后修复。

显示全部楼层 · 发表于 2010-12-5 19:31:30

Kaspersky Lab ZAO.
拒绝访问
无法返回请求的网页

试图访问的网页：

http://bbs.kafan.cn/forum-attachment-aid
-mtaxnzg3nhw0mjuyywrmzxwxmjkxntq4njczfdq
1nte2oa%3d%3d.html

被以下病毒感染：Trojan-Dropper.Win32.TDSS.rgv

创建日期：
19:30:22
Kaspersky Lab ZAO.

显示全部楼层 · 发表于 2010-12-5 20:45:36

to MSE

显示全部楼层 · 发表于 2010-12-5 21:27:35

本帖最后由无毒空间于 2010-12-5 21:32 编辑

回复 33楼 F-secure2009 的帖子

做病毒木马研究的，最好不要安装杀软，否则，一看到可疑程序，杀软们要死要活的就要把样本干掉。
哪还有你研究的份啊！
上几张图，报告一下进展。

加密的MBR，真是很有看头的。

解开后的MBR，更有看头。
解密部分的代码，简单而实用，实在是不可多得的教材啊。

使用bp为解密缓存，居然还有反跟踪的效果，作者确实是经验丰富啊。

显示全部楼层 · 发表于 2010-12-6 17:18:07

avast!
Win32:Alureon-LQ [Trj] (0)

显示全部楼层 · 发表于 2010-12-6 17:28:10

NOD32杀之，特洛伊木马

[病毒样本] 1 TDSS

本帖子中包含更多资源

本帖子中包含更多资源