增强型scr病毒

显示全部楼层 · 发表于 2010-12-12 11:08:17

本帖最后由饭卡-sina 于 2010-12-12 16:25 编辑

简单的说就是UNICODE编码中实现反向排列的RLO对应的̷8;等同于&#x2O2E
所以可以通过下面的代码创建一个可以反转的文件名

HANDLE hl = CreateFileW(L"JokeS\x202Egnp.scr", GENERIC_WRITE, 0, NULL, CREATE_ALWAYS, 0, NULL);
if (hl != INVALID_HANDLE_VALUE)
CloseHandle(hl);

之后这个scr文件在查看后缀的时候显示的是png，就实现了更强的隐藏

这个还是有点意思的。一般的鸟不注意的话还是很难看出来。

显示全部楼层 · 发表于 2010-12-12 11:11:11

Avira
TR/Crypt.CFI.Gen 特洛伊木马

显示全部楼层 · 发表于 2010-12-12 11:59:53

to avast!

显示全部楼层 · 发表于 2010-12-12 12:02:59

to ESS 上报金山 NOD32

显示全部楼层 · 发表于 2010-12-12 12:32:31

大蜘蛛clean，加了个壳：JokeS?gnp.scr packed by FLY-CODE
已上报

显示全部楼层 · 发表于 2010-12-12 13:02:00

卡巴未报

显示全部楼层 · 发表于 2010-12-12 13:38:43

卡巴和金山未报，呵呵

显示全部楼层 · 发表于 2010-12-12 13:57:25

本帖最后由卍解十字架于 2010-12-12 14:41 编辑

显示全部楼层 · 发表于 2010-12-12 14:02:06

过f-secure

显示全部楼层 · 发表于 2010-12-12 14:07:02

把该文件从新命名会发现一个很有趣的现象，不知道大家发现没有。就是重命名的时候把光标移动到扩展名的最后，然后在从最后一个一个字母的删。。。。。也可以移动到扩展名的中间。。。有兴趣大家可以试试

[病毒样本] 增强型scr病毒