作者lcjjaff (回憶憶起回憶)
看板AntiVirus
標題[測試]ChristmasImg2007-12.zip 已變種
時間Thu Dec 27 13:42:54 2007
To Blman大師：
陸陸續續有人反應無法順利移除，我將無法移除的那些檔案拿來實測
結果與Sdum大，的結果有些相異，我想應該是有變種吧～
那我將我測試的結果分享一下～
看是否有部分無法解毒是這個造成的~~~
測試開始：
ChristmasImg2007-12.zip
解壓縮後裡面是
Christmas-img2156.JPEG.scr
執行這檔案後，所進行的動作：
登錄檔路徑:
HKEY_CURRENT_USER\
machine\software\microsoft\Windows\CurrentVersion\Run
登錄檔名稱:MsnLiveMessenger
登錄檔數值:msmsgrs.exe
建立檔案在
C\WINDOWS\msmsgrs.exe
再對所建立的C\WINDOWS\msmsgrs.exe進行測試
建立檔案
C\0h00.exe
C\WINDOWS\system32\svho.exe
登錄檔路徑:
HKEY_CURRENT_USER\machine\software\microsoft\Windows\CurrentVersion\Run
登錄檔名稱:System Service Manager Device
登錄檔數值:svho.exe
登錄檔路徑:
HKEY_CURRENT_USER\machine\software\microsoft\Windows\CurrentVersion\RunServices
登錄檔名稱:System Service Manager Device
登錄檔數值:svho.exe
解法的部分，操作上如sdum所說明的icesword的操作
把機碼吃掉
與檔案刪掉重開機就可以了～
或等等有沒有大師，將其寫成批次檔^^
註1：
HKEY_CURRENT_USER\
machine
這個machine的key我的電腦裡面沒有，
是整個新建立的嗎?
測試樣本：
http://kotuha.com/file/Jhiu2-ChristmasImg2007-12.html
密碼:virus
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 140.112.63.194
1F：推 blman:machine 字樣去掉，就是實體攻擊時寫入的 registry 12/27 13:59
2F：→ blman:現在很多 HIPS 或 sandbox 都是用類似虛擬機碼的方式 12/27 13:59
3F：→ blman:來與實體主機作區隔，以免惡意程式攻擊到實體主機上 :) 12/27 14:00
4F：→ lcjjaff:恩～確實我是在虛擬機下測試XD不然這台電腦都是論文的東西 12/27 14:02
5F：→ lcjjaff:報告大師:這邊測試可以了^^ 12/27 14:14
6F：推 SDUM:你用sandboxie嗎？ 12/27 14:49
7F：→ SDUM:HKEY_CURRENT_USER\machine 是指 HKLM 12/27 14:50
8F：→ SDUM:HKEY_CURRENT_USER\user 是指 HKCU 12/27 14:51
9F：推 SDUM:剛剛和未變種的比對，解法一樣？ 12/27 16:15
To Sdum大：
感謝解說^^
樣本測試果然不熟Orz
看了一下跟您之前的解
生成的
C:\0h00.exe <---
其實我忘了對他測試了Orz，應該也有寫入機碼，只是blman大師有刪掉他
大概是因為檔案不見了，所已變種有順利刪除了
[取樣本的那台電腦，執行更新後的killvirus-46，可順利刪除] @@a
C:\0000a.exe
這個長的不一樣＠＠a
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~:\Local Settings\Temporary Internet Files\Content.IE5\CNRA8I15\000000000000a[1].exe
然後會下載的那個東西
我測出來的結果是長這樣，不知道是不是亂數生成的＠＠?
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
另外請教：
使用EQSysSecure的時候，
是不是把防毒軟體(BD)打開，
只要BD與EQ都對那個樣本進行控制時，就會直接重新開機Orz
開完以後會出現，系統由嚴重錯誤中修復，是否要回報有點軟╮(╯_╰)╭
在測試的時候，每次都會出現這問題～
所以很懶的測試>"<
※ 編輯: lcjjaff 來自: 140.112.63.194 (12/27 17:47)
10F：推 SDUM:測病毒，最好不開防毒，不過，可以事先設例外規則！ 12/27 17:52
11F：→ SDUM:長得不一樣，行為卻一樣，非常神奇哦！ 12/27 17:53
12F：→ SDUM:話說，最準就是用OllyDebug來分析代碼，不過我不會 T.T 12/27 17:54
13F：推 junorn:可能要看情形啦，像auto.exe這東西就是隨電腦不同他生成的 12/27 17:55
14F：→ junorn:東西也會不同的 12/27 17:55
改錯字...
※ 編輯: lcjjaff 來自: 140.112.63.194 (12/27 18:07)
15F：→ lcjjaff:謝謝S大與J大的說明 m(_._)m 12/27 18:08