决战木马89b1d06f

songlynn

上周五，偶老大打来电话说他电脑有点问题，说是某些网页打不开~~~~~
偶认为事情不怎么样，于是电话告之，重新启动电脑，须臾，电话又来，云：问题依旧
心想，多半是什么劫持浏览器的流氓软件在搞鬼了，
拿上偶心爱的icesword ，并一个升级好的360，于中午1点过驱车前往老大家里~~~~~~~~~
热啊热啊，简直把偶当烧烤打整~~~~~~~~~~
到了地方，习惯性的，三个键，啊~~没有异常啊~~~，regedit 正常，msconfig,正常，服务正常，ie加载项，正常，无hosts文件，..........
反正在windows下看到一切正常，唯一不正常就是隐藏文件无法显示~~~，于是~~~

运行360~~~~~~~~~~~~！！！！！！没有反应~~~~
狂双击，持续没有反映~~~~~~~11
想，靠，还给劳资禁止360的运行~~~，偶把360改个名字嘛，改成fuck.exe 一运行，我靠~~~~~~~~
还是没有反映~~~~~~~~！！！！
怒~~~~~~~~~ing
抓出icesword，运行，持续没有反应，tnnd，难怪老大的正版瑞星啥子给搞掉了，
于是，想，tmd是哪个进程结束了icesword和360，劳资找到你杀了你不就好了~~~
拿出process explorer ,运行，无响应~~~~~~~怒！！
于是上网，搜索各个能查进程的程序，下了不下10个出来，运行，都无响应~~~~~~~~~~~狂怒~
又下了个360的安装版，一运行安装程序，刚看到个：欢迎你~~~~ 就没有了
猜想它肯定不止检测了窗口标题，还检测了窗口内容，有各个能杀能查它的窗口通通枪毙了~~~
想到这里，就测试了一下，试图打开n个在线杀毒，在线查毒的网页，通通被喀嚓~~~
果然是厉害呢，偶到此已经非常愤怒了，本想重新装系统的，一怒之下，劳资不重装了，花几个小时也要整死这只马，还没有听说过偶整不死的马呢！！！！！！！！
狂怒之下，ssreg2也拿来了，用不起，什么杀马，杀毒助手，等等，工具都用不起，甚至英文版的antivirus 网页也打不开，偶又不认识其它文字，其他网页没有打开来试过~~~~

哎呀，气得偶啊，想，重新启动到安全模式看能不能进去~~~
重新启动，安全模式，靠，进不去！！！！
firing~~~~~~~~~~~
最后，劳资拿出启动光盘，直接进入纯dos，
到各个目录attrib 一看，在%system32%下attrib 出错，这是某个版本灰鸽子的表现的嘛，可是灰鸟还没有狂砍关键字窗口的嘛~~~~
仔细一看，果然，有个什么syssun1目录，里面熟悉的ghook.dll~~~~~~
按照常规思路，杀掉了鸽子，
在此之下，没有重新启动，（幸好没有，不然又恢复成马场了）
到各个目录去dir /od去看了看~~~~~
当查到C:\Program Files\Common Files\Microsoft Shared\MSInfo 下的时候
呀，怎么有几个文件的日期和其他的不一样呢？？？？
再一看文件名，89b1d06f.dll ,89b1d06f.sys
不对啊，微软的dll和sys不会来个同名，而且没有放在windows目录下呢？？？？
把他们copy出来，改个名字
然后又到各个目录下去看~~~~~~~~~~~~
没有其他异常样~~~~~~
报着试试的心态，
重新正常启动~~~~~~
呵呵，正常了~~~~~，各个工具也能运行了
用ssreg2一查，原来它是大马挂小马，大马做事，小马隐藏不动~~~~已备恢复大马~~~
启动位置是在~~~~~~~~~~~~
不说了，呵呵，反正是各个正常的地方都不是
不是run ,也不是启动，等等等等～～～～～
完了，偶的样本不小心被卡巴杀掉了～～～～5555
人家还想ollydbg一下呢～～～，这下上哪找去啊？？？
这下不该发到样本区了，请版主移位吧～～