暴风一号这个vbs样本怎么看代码？？

显示全部楼层 · 发表于 2011-4-17 12:30:48

这个病毒用的什么方法加密vbs啊？可以解密成明文不？
普通的vbs怎么加密成这种方式

解压密码 %%%KKK%%%

显示全部楼层 · 发表于 2011-4-17 13:11:56

ESET kill
G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\123.vbs - VBS/Autorun.DO 蠕虫

H兄，试下你的规则，你不介意吧？
2011-04-17 13:07:12 运行应用程序    操作:允许
进程路径:C:\Program Files\Sandboxie\Start.exe
文件路径:G:\windows\System32\WScript.exe
命令行:"G:\Documents and Settings\Administrator.HX-C0987054243B\桌面\123.vbs"
触发规则:所有程序规则->系统程序设置->%windir%\system32\*script.exe

2011-04-17 13:07:20 创建文件    操作:允许
进程路径:G:\windows\System32\WScript.exe
文件路径:G:\Sandbox\HX\Virus\user\current\桌面\123.vbs
触发规则:所有程序规则->全局设置->%SystemDrive%\*.vbs

2011-04-17 13:07:20 修改文件    操作:阻止
进程路径:G:\windows\System32\WScript.exe
文件路径:(隐藏文件)G:\Sandbox\HX\Virus\user\current\桌面\123.vbs
触发规则:所有程序规则->全局设置->%SystemDrive%\*.vbs

2011-04-17 13:07:20 修改文件    操作:阻止
进程路径:C:\Program Files\Sandboxie\SbieSvc.exe
文件路径:(隐藏文件)G:\Sandbox\HX\Virus\user\current\桌面\123.vbs
触发规则:所有程序规则->全局设置->%SystemDrive%\*.vbs

显示全部楼层 · 发表于 2011-4-17 13:26:08

大蜘蛛：123.vbs - infected with VBS.Autoruner.58

显示全部楼层 · 发表于 2011-4-17 13:26:49

2011-04-17 13:23:18 创建文件操作:阻止并结束进程
进程路径:G:\windows\System32\WScript.exe
文件路径:G:\Sandbox\HX\Virus\user\current\桌面\123.vbs
触发规则:应用程序规则->未知病毒检测->*\wscript.exe->*.vbs

显示全部楼层 · 发表于 2011-4-17 13:41:12

回复 2楼 hx1997 的帖子

我想说的是，这个vbs用记事本打开怎么是乱码？怎么解密？

显示全部楼层 · 发表于 2011-4-17 13:43:09

回复 5楼 xkx6149 的帖子

我也不会解密

所以跑来扫描了

显示全部楼层 · 发表于 2011-4-17 15:09:41

本帖最后由 wmcxdb 于 2011-4-18 08:22 编辑

2011-4-18 08:17:23 访问COM接口阻止
进程: c:\windows\system32\wscript.exe
目标: {4590F811-1D3A-11D0-891F-00AA004B2E24} WBEM Locator
文件路径: C:\WINDOWS\system32\wbem\wbemprox.dll
规则: [应用程序组]c\windows -> [COM接口]{4590F811-1D3A-11D0-891F-00AA004B2E24}
2011-4-18 08:17:23 创建文件阻止
进程: c:\windows\system32\wscript.exe
目标: C:\346164323.vbs
规则: [应用程序组]c\windows -> [文件组]文件保护 -> [文件]?:\
2011-4-18 08:17:23 创建文件阻止并结束进程
进程: c:\windows\system32\wscript.exe
目标: C:\AutoRun.inf
规则: [应用程序组]c\windows -> [文件组]全阻止结束 -> [文件]*; autorun.inf

显示全部楼层 · 发表于 2011-4-17 15:50:25

诺顿杀掉了

显示全部楼层 · 发表于 2011-4-17 16:44:42

本帖最后由幸福的猪猪于 2011-4-17 17:46 编辑

找到Execute这个函数就可以了。（编写者把其颠倒过来，混淆视线）

找到相关函数之后，用“WScript.Echo”这个函数去替换，然后再执行相关脚本文件。（不包含引号。其要倒着写，才能得到相关代码。）

p.s. 我只是个业余的菜鸟，相关解密方法由 qianwenxiang 版主授予。（解密之后的源代码，我就不发出来了。）

显示全部楼层 · 发表于 2011-4-17 18:33:24

试试Blast xiang的Redoce

[病毒样本] 暴风一号这个vbs样本怎么看代码？？

本帖子中包含更多资源

评分

本帖子中包含更多资源

浏览过的版块

[病毒样本] 暴风一号 这个vbs样本怎么看代码？？

本帖子中包含更多资源

评分

本帖子中包含更多资源

浏览过的版块

[病毒样本] 暴风一号这个vbs样本怎么看代码？？