下沙论坛

 找回密码
 注册论坛(EC通行证)

QQ登录

QQ登录

下沙大学生网QQ群8(千人群)
群号:6490324 ,验证:下沙大学生网。
用手机发布本地信息严禁群发,各种宣传贴请发表在下沙信息版块有问必答,欢迎提问 提升会员等级,助你宣传
新会员必读 大学生的论坛下沙新生必读下沙币获得方法及使用
查看: 13267|回复: 27
打印 上一主题 下一主题

[公告]关于计量后院病毒“我的相册”的分析及其专杀工具[希望置顶,但不要加精]

[复制链接]

该用户从未签到

跳转到指定楼层
1
发表于 2004-10-26 20:48:00 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
病毒文件名:我的相册.exe9 i5 C$ J8 u4 U1 b: p
程序大小:44K
6 E5 Q2 z& |0 g! J1 ]编程语言:Microsoft Visual Basic 5.0 / 6.0# X* Z  r* J. h+ i% ^- B" p" u
加密壳:无
0 V4 R; G7 }5 A( Q  F* Q程序运行过程:
, }* n( G; y! J# ]; V1、先获取当前运行文件的文件名(GetModuleFileNameA),
0 A0 W  K8 ~& E2 z- k2、获取Windows路径名(GetWindowsDirectoryA)(设此值为strWindows)% n+ d7 i$ ^: ^8 j! i
3、获取System路径名(GetSystemDirecoryA)(设此值为strSystem); a% i4 s- O1 N. H0 i" i
4、更改注册表值:\HKEY_LOCAL_MACHINE\software\microsoft\windows\currentVersio\run的默认数据为strSystem + "SVCH0ST.EXE",注意,其中的那个是数字0而不是字母O,这儿用的是大写字母来混淆。
* c' M3 U: w4 k& \8 `5、检查文件strSystem+"\SVCH0ST.EXE"和文件strWindows+"\help\SVCH0ST.EXE"是否存在,如果不存在,则复制自身为strSystem+"\SVCH0ST.EXE"和strWindows+"\help\SVCH0ST.EXE",然后出现一个消息对话框,标题:Windows任务管理器,内容:文件已损坏。如果文件存在,则跳过此步骤" N8 H, q* w: R* T2 i: |( f) P
6、枚举系统中所有的逻辑驱动器,并判断其类型,如果该驱动器为可写的移动存储器,则复制自身到该驱动器名为“我的相册.exe”
( S6 z3 t9 H. G0 f/ S7 s3 `7、更改CHM类型文件的关联为strWindows+"\help\SVCH0ST.EXE"
# J# Q# t% O- P: e& W/ q  f# f! q8、建立Timer事件,一共有三个Timer实例,( g' d. R" r& e, W
一个在不停的检查机器的时间,在特定的时间出现对话框,一些无聊的信息;. {* g) o2 }  t
一个在重复做着1~6的流程;
9 R1 D5 o2 K) k# I5 i3 o一个在读注册表HKEY_CURRENT_USER\Software\OneWave\NetClient3 c' ]8 m8 R9 b1 D- m9 V
HKEY_CURRENT_USER\Software\OneWave\NetClient\Setting
8 d" f" Y0 @/ K: w, a  D7 w8 e9 |. x4 e/ c- y( G! B( P
对于计量后院给出的专杀工具的分析:6 i* y+ u, p+ g+ t! F/ G1 d
文件名:100708.exe
9 [8 d9 l0 y6 b" R0 ^  K. q程序大小:22.5K; K) h& ]" T( [9 ]6 q
编程语言:Microsoft Visual Basic 5.0 / 6.0
7 r# F# Q9 B+ g0 {: a2 t8 W' I$ ?* \6 @加密壳:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo0 J  ]( ]( O1 w5 \4 E4 G6 ?
程序只是简单在进程中查找标题为“Windows任务管理器”的进程,并结束它。然后寻找并删除感染文件,修复注册表。
' l" O9 L* p" ]8 [2 g" D2 V我的专杀工具的说明:
6 c* p) O1 M/ l- ]; z' m! o文件名:MyPhoto_Hunter.exe! @4 J" z+ @0 ?  v9 P  ?2 F% ~# W
程序大小:13.5K  J2 _7 q+ T7 A. Y7 K( T
编程语言:Microsoft Visual C++ 6.0
2 l4 i8 V/ E6 ^" C加密壳:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
: e0 K( l' z, R  q使用信息摘要技术验证病毒,杀毒过程有详细的信息反馈,并可以对指定的磁盘进行全面杀毒。
; }, ^, A3 T2 C: t" S
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
收藏收藏 分享分享 顶 踩

该用户从未签到

2
 楼主| 发表于 2004-10-26 20:50:00 | 只看该作者
重做了这个程序,3 U$ I0 D+ R; E8 Q
修正了对特权进程打开出错的BUG,修正了对大批量文件进行查杀时会打开文件出错的BUG。以后有机会优化一下代码再公布。
& ^+ }# n1 h& n0 `4 h【点击这儿下载】
/ a! c5 p! u6 g' }( T
[此贴子已经被作者于2004-11-6 9:40:50编辑过]
' u% v  _- \: V! _2 V8 _/ g2 ]
  • TA的每日心情
    奋斗
    昨天 09:52
  • 签到天数: 2384 天

    [LV.Master]伴坛终老

    3
    发表于 2004-10-26 23:18:00 | 只看该作者
    晕,贴图区可以上传,这里没有开放,我开放下

    该用户从未签到

    4
    发表于 2004-10-26 23:26:00 | 只看该作者

    哇,终于有高人出现了

    问个问题,为什么不用VS.Net 2003,我觉得挺好的,起码比VS6.0强吧~还中文……

    该用户从未签到

    5
     楼主| 发表于 2004-10-27 00:08:00 | 只看该作者

    回楼上的,习惯了用6.0了。

    这个东西做得比较急,晚饭后赶出来的。全面杀毒那个模块没有出错处理,所以偶尔也会有尝试打开不存在的文件的错误导致程序崩溃的。

    该用户从未签到

    6
    发表于 2004-10-27 15:51:00 | 只看该作者
    MXRDI4QF.rar (1.64 KB, 下载次数: 329)
    . I( ^; R5 t( Y4 S1 N- {习作:. e1 t( r7 r# c" a4 S
    微型“我的相册”专杀工具
    8 \$ |/ `+ i4 L大小:4096 btyes(1642 btyes use winrar)
    , R3 o7 R1 \0 ~1 {作用:
    6 D4 G) ]( S1 \( R1、结束病毒进程! R: s# x( ?& C$ d; R" w1 I
    2、删除2处的病毒文件
    ; a6 W# j: U" M& F2 r  _7 `3、恢复chm文件的正确关联
    ( G% T0 x  V" y; _: V4、去除病毒的启动项目$ C# ~  L+ \: d1 L2 h7 N6 g6 A- r
    就占用你FAT32的一个簇!
    ( h# b: i% w8 J+ i
    [此贴子已经被作者于2004-10-27 16:01:39编辑过]
    9 p6 p" G5 H: Q

    qUI1MUny.rar

    1.6 KB, 下载次数: 115, 下载积分: 下沙币 -1 元

    [公告]关于计量后院病毒“我的相册”的分析及其专杀工具[希望置顶,但不要加精]

    该用户从未签到

    7
    发表于 2004-10-27 18:18:00 | 只看该作者
    最后为 按回车 结束,搞错了

    该用户从未签到

    8
     楼主| 发表于 2004-10-27 20:43:00 | 只看该作者

    我先说一下我的程序,我的程序在查杀内存病毒的时候,也会出现打开不存在的文件的错误.一会儿我回去看看我的代码.

    我分析了6楼的那个程序,应该是用汇编语言编的吧,做得不错,但也只能对特定位置杀毒,对进程中的病毒查杀也只是根据它的文件名,我认为这不好,万一那个病毒是从别的地方运行呢?进程名为:我的相册.exe呢?

    该用户从未签到

    9
    发表于 2004-10-27 22:02:00 | 只看该作者

    我就是按照文件的感染过程做的逆过程,另一方面也是本身水平限制

    虽然可能会有进程名为 XXX.exe的时候,但他在启动项目里添加的文件名是固定的,那它发作用的文件名必定是这个svch0st.exe,否则启动项目无意义

    最后也只要是怕麻烦了,也想不出什么好办法

    该用户从未签到

    10
     楼主| 发表于 2004-10-28 10:21:00 | 只看该作者

    更新“我的相册”病毒的专杀工具

    bwR5kJz6.rar (10.52 KB, 下载次数: 449)
    % y3 {! `, |" z8 b修正了对特权进程打开出错的BUG,修正了对大批量文件进行查杀时会打开文件出错的BUG。以后有机会优化一下代码再公布。

    该用户从未签到

    11
    发表于 2004-11-3 23:14:00 | 只看该作者
    多谢了,偶的电脑已经没事了,太感谢了

    该用户从未签到

    12
    发表于 2004-11-14 01:27:00 | 只看该作者

    该用户从未签到

    13
    发表于 2004-11-14 17:41:00 | 只看该作者

    干嘛非要用杀毒软件杀它啊!只要在SYSTEM32的目录下面把它删掉就OK了!

    只要先在任务管理把它关掉就可以删了,只要不删错就行!

    该用户从未签到

    14
    发表于 2004-11-14 18:15:00 | 只看该作者

    这里的就是代替你手动罢了

    还有你注册表没有忘记恢复吧

    手心空洞 该用户已被删除
    15
    发表于 2004-11-18 14:48:00 | 只看该作者
    太谢谢楼主了,金山独霸根本没用,万能精灵,木马克星也杀不掉,谢谢谢谢~~~
  • TA的每日心情
    奋斗
    2017-11-21 10:16
  • 签到天数: 3 天

    [LV.2]偶尔看看I

    16
    发表于 2004-11-18 15:18:00 | 只看该作者
    真好

    该用户从未签到

    17
     楼主| 发表于 2004-11-19 12:54:00 | 只看该作者
    为什么格里风给我一种很亲切的感觉呢?
    amw 该用户已被删除
    18
    发表于 2004-11-28 15:24:00 | 只看该作者

    我也中了…………

    该用户从未签到

    19
    发表于 2004-12-1 15:21:00 | 只看该作者
    这个病毒我U盘上也出现过,不知道哪里来的,被我在第一时间发现格掉了,然后就好了~~~~~·
    笑衫笑 该用户已被删除
    20
    发表于 2004-12-30 22:36:00 | 只看该作者

    两位高手真是厉害

    好佩服!

    本版积分规则

    关闭

    下沙大学生网推荐上一条 /1 下一条

    快速回复 返回顶部 返回列表