作者joinwu (阿里巴巴是个好青年)
看板AntiVirus
标题[中毒] 小心P2P上的伪软体ADBEPHSPCS4_LS1.EXE
时间Sun Oct 19 20:45:09 2008
目前在网路上很红的软体ADOBE PHOTOSHOP CS4
有人利用P2P恶意散布病毒
档名ADBEPHSPCS4_LS1.EXE
先前ADOBE官方网站有提供试用版下载ADBEPHSPCS4_LS1.7Z
不过晚了我没赶上只好寻求P2P
没想到抓到两个档案
ADBEPHSPCS4_LS1.7Z
ADBEPHSPCS4_LS1.EXE
加上NOD32防毒没有反应手残按下去EXE
只出现一些错误讯息 本以为他会解压7Z
结果是病毒哈哈~我还在很多台电脑上测试结果都中标
(想说2003系统可能不行换XP跟VISTA试试看)
病毒先产生批次档在TEMP中然後下载应用程式载入3个DLL到系统中
载入一个ZXXXXX.SYS档案 另外执行PING 还有些小动作没有注意到
主要会变种产生3个DLL档案名称随机 C:\WINDOWS\SYSTEM32\XXXXXXX.DLL
两个用RUNDLL32.EXE常驻→删的掉不过开机产生新的随机档案
一个嵌到WINLOGON.EXE←这个会修复另外两个DLL，修复自身登录档(无法改登录档)
参考档案1
请勿执行它是病毒本体
http://www.sendspace.com/file/iv12fb
参考档案2
产生的3个DLL
http://www.sendspace.com/file/7bnq6a
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 123.193.150.15
1F：→ joinwu:没去保护模式删档 直接用UNLOCKER强杀 结果系统崩溃 10/19 20:47
2F：推 bhstleon:NOD似乎对压缩档很部接受的样子= =" 10/20 12:52