设为首页收藏本站
开启辅助访问

下沙论坛

 找回密码
 注册论坛(EC通行证)

QQ登录

QQ登录

 下沙大学生网QQ群8（千人群）
群号：6490324 ,验证：下沙大学生网。
下沙论坛»下沙论坛 › ╃摩登&时代╃ › 科技．电脑网络 › [公告]关于计量后院病毒“我的相册”的分析及其专杀工具 ...
用手机发布本地信息严禁群发，各种宣传贴请发表在下沙信息版块有问必答，欢迎提问 提升会员等级，助你宣传
新会员必读 大学生的论坛下沙新生必读下沙币获得方法及使用
12下一页
返回列表 发新帖
查看: 13339|回复: 27
打印 上一主题 下一主题

[公告]关于计量后院病毒“我的相册”的分析及其专杀工具[希望置顶，但不要加精]

[复制链接]
Eagle

该用户从未签到
跳转到指定楼层
1楼
发表于 2004-10-26 20:48:00 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
病毒文件名：我的相册.exe
% T* `* S# R8 ~6 R' r* t! Q" [程序大小：44K
3 l, l% x3 n1 B9 F7 W编程语言：Microsoft Visual Basic 5.0 / 6.0
; ~* |) `( e. \" ]& o加密壳：无6 L4 h5 b7 Y- g4 S0 @( ]  B9 H. Y( \
程序运行过程：
- ]" T6 x9 w0 q( \1、先获取当前运行文件的文件名(GetModuleFileNameA)，0 W8 @- c$ M' [) L; ]) }1 L) h3 x
2、获取Windows路径名(GetWindowsDirectoryA)(设此值为strWindows)
5 Z* }8 L7 O' \8 E% i3、获取System路径名(GetSystemDirecoryA)(设此值为strSystem)7 O7 L! |' N0 ~" d9 t6 g
4、更改注册表值：\HKEY_LOCAL_MACHINE\software\microsoft\windows\currentVersio\run的默认数据为strSystem + "SVCH0ST.EXE"，注意，其中的那个是数字0而不是字母O，这儿用的是大写字母来混淆。7 {. M! e6 C; `4 g5 U/ a+ M& }, r
5、检查文件strSystem+"\SVCH0ST.EXE"和文件strWindows+"\help\SVCH0ST.EXE"是否存在，如果不存在，则复制自身为strSystem+"\SVCH0ST.EXE"和strWindows+"\help\SVCH0ST.EXE"，然后出现一个消息对话框，标题：Windows任务管理器，内容：文件已损坏。如果文件存在，则跳过此步骤$ X8 x: Z8 `. n$ z8 ~0 U
6、枚举系统中所有的逻辑驱动器，并判断其类型，如果该驱动器为可写的移动存储器，则复制自身到该驱动器名为“我的相册.exe”
' e5 `/ C0 a! }. G7、更改CHM类型文件的关联为strWindows+"\help\SVCH0ST.EXE"
+ T1 D' h; J- d8 G  F  |8、建立Timer事件，一共有三个Timer实例，! s5 E$ k" h* A; A! e! Z
一个在不停的检查机器的时间，在特定的时间出现对话框，一些无聊的信息;8 w  ~8 W1 ~1 Y/ z$ o
一个在重复做着1～6的流程;
) x+ l$ `" h' w4 g一个在读注册表HKEY_CURRENT_USER\Software\OneWave\NetClient  V8 G/ ^2 H2 B- G
HKEY_CURRENT_USER\Software\OneWave\NetClient\Setting8 [/ b- a( `' a0 N1 e

- @+ d: E8 E8 c7 N' K对于计量后院给出的专杀工具的分析：- |5 ]' }( w1 V
文件名：100708.exe
' U4 [0 Z* E1 e! f7 a- x+ b程序大小：22.5K
9 @9 V; i% B' Z- I4 |9 d; b编程语言：Microsoft Visual Basic 5.0 / 6.0/ z/ d( v# ]( O& z' u
加密壳：UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo8 d2 X4 H4 a* O, V- F* ^7 Q
程序只是简单在进程中查找标题为“Windows任务管理器”的进程，并结束它。然后寻找并删除感染文件，修复注册表。
* Z# Q! |5 Q% n+ a) v' }3 j" p' e我的专杀工具的说明：
7 L- _5 ~  g# ]/ H+ ~3 ~文件名：MyPhoto_Hunter.exe4 W8 _& a) N0 e7 ~$ Q' P
程序大小：13.5K
( j- p" o9 r9 }: G" i3 a编程语言：Microsoft Visual C++ 6.0( C1 p" h5 {! Y. [6 ^0 z; Q. s
加密壳：UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo' M, L" R) y! i0 j% y8 ?6 l) ^
使用信息摘要技术验证病毒，杀毒过程有详细的信息反馈，并可以对指定的磁盘进行全面杀毒。9 y' X6 _  T! M) h. ^5 `! \+ h
工具, 后院, 计量, 我的相册, 置顶
分享到:  QQ好友和群QQ好友和群 QQ空间QQ空间 腾讯微博腾讯微博 腾讯朋友腾讯朋友
收藏收藏 分享分享 顶顶 踩踩

相关帖子
回复

使用道具 举报

Eagle

该用户从未签到
2楼
 楼主| 发表于 2004-10-26 20:50:00 | 只看该作者
重做了这个程序，! B; S4 h4 Z  u4 q/ h
修正了对特权进程打开出错的BUG，修正了对大批量文件进行查杀时会打开文件出错的BUG。以后有机会优化一下代码再公布。4 z. M/ B5 w& N: T, [* f
【点击这儿下载】
" w4 q) \, l# j% K: r
[此贴子已经被作者于2004-11-6 9:40:50编辑过]

7 a. G' {7 n" b7 j+ u+ a% h
回复 支持 反对

使用道具 举报

煎饼
  • TA的每日心情
    奋斗
    昨天 11:21

    • 签到天数: 2393 天

    [LV.Master]伴坛终老
    3楼
    发表于 2004-10-26 23:18:00 | 只看该作者
    晕，贴图区可以上传，这里没有开放，我开放下
    回复 支持 反对

    使用道具 举报

    游侠无极限

    该用户从未签到
    4楼
    发表于 2004-10-26 23:26:00 | 只看该作者

    哇，终于有高人出现了

    问个问题，为什么不用VS.Net 2003，我觉得挺好的，起码比VS6.0强吧~还中文……

    回复 支持 反对

    使用道具 举报

    Eagle

    该用户从未签到
    5楼
     楼主| 发表于 2004-10-27 00:08:00 | 只看该作者

    回楼上的，习惯了用6.0了。

    这个东西做得比较急，晚饭后赶出来的。全面杀毒那个模块没有出错处理，所以偶尔也会有尝试打开不存在的文件的错误导致程序崩溃的。

    回复 支持 反对

    使用道具 举报

    游侠无极限

    该用户从未签到
    6楼
    发表于 2004-10-27 15:51:00 | 只看该作者
    MXRDI4QF.rar (1.64 KB, 下载次数: 329)
    , I7 D: q% {' I5 [5 h习作：$ x) p) X! H+ D* L% F( E
    微型“我的相册”专杀工具, w& Q2 x& H5 U4 V6 r; Y# n
    大小：4096 btyes(1642 btyes use winrar)! `9 X# R5 v. s4 K+ S
    作用：7 j: @' F  A7 p; ]! y! M) K
    1、结束病毒进程
    & n& W/ W  V' Q2 t: d& T1 {2、删除2处的病毒文件/ z; B7 Z& b- `( X- Z& E
    3、恢复chm文件的正确关联
    ! M( Q' R- B7 B' T# b; P4、去除病毒的启动项目
      t% f2 ]9 l; j# c' G1 ?就占用你FAT32的一个簇！
    : `' f3 t' E2 y8 [* `/ I  y  z
    [此贴子已经被作者于2004-10-27 16:01:39编辑过]
    4 m1 Z8 g/ g" A# t" {

    qUI1MUny.rar

    1.6 KB, 下载次数: 115, 下载积分: 下沙币 -1 元

    [公告]关于计量后院病毒“我的相册”的分析及其专杀工具[希望置顶，但不要加精]
    回复 支持 反对

    使用道具 举报

    游侠无极限

    该用户从未签到
    7楼
    发表于 2004-10-27 18:18:00 | 只看该作者
    最后为 按回车 结束，搞错了
    回复 支持 反对

    使用道具 举报

    Eagle

    该用户从未签到
    8楼
     楼主| 发表于 2004-10-27 20:43:00 | 只看该作者

    我先说一下我的程序,我的程序在查杀内存病毒的时候,也会出现打开不存在的文件的错误.一会儿我回去看看我的代码.

    我分析了6楼的那个程序,应该是用汇编语言编的吧,做得不错,但也只能对特定位置杀毒,对进程中的病毒查杀也只是根据它的文件名,我认为这不好,万一那个病毒是从别的地方运行呢?进程名为:我的相册.exe呢?

    回复 支持 反对

    使用道具 举报

    游侠无极限

    该用户从未签到
    9楼
    发表于 2004-10-27 22:02:00 | 只看该作者

    我就是按照文件的感染过程做的逆过程，另一方面也是本身水平限制

    虽然可能会有进程名为 XXX.exe的时候，但他在启动项目里添加的文件名是固定的，那它发作用的文件名必定是这个svch0st.exe，否则启动项目无意义

    最后也只要是怕麻烦了，也想不出什么好办法

    回复 支持 反对

    使用道具 举报

    Eagle

    该用户从未签到
    10楼
     楼主| 发表于 2004-10-28 10:21:00 | 只看该作者

    更新“我的相册”病毒的专杀工具

    bwR5kJz6.rar (10.52 KB, 下载次数: 449)
    2 C* p" T7 V+ J1 {4 \/ f修正了对特权进程打开出错的BUG，修正了对大批量文件进行查杀时会打开文件出错的BUG。以后有机会优化一下代码再公布。
    回复 支持 反对

    使用道具 举报

    等待爱飞翔

    该用户从未签到
    11楼
    发表于 2004-11-3 23:14:00 | 只看该作者
    多谢了，偶的电脑已经没事了，太感谢了
    回复 支持 反对

    使用道具 举报

    jijibaba

    该用户从未签到
    12楼
    发表于 2004-11-14 01:27:00 | 只看该作者
    回复 支持 反对

    使用道具 举报

    lang1984

    该用户从未签到
    13楼
    发表于 2004-11-14 17:41:00 | 只看该作者

    干嘛非要用杀毒软件杀它啊！只要在SYSTEM32的目录下面把它删掉就OK了！

    只要先在任务管理把它关掉就可以删了，只要不删错就行！

    回复 支持 反对

    使用道具 举报

    游侠无极限

    该用户从未签到
    14楼
    发表于 2004-11-14 18:15:00 | 只看该作者

    这里的就是代替你手动罢了

    还有你注册表没有忘记恢复吧

    回复 支持 反对

    使用道具 举报

    手心空洞 该用户已被删除
    15楼
    发表于 2004-11-18 14:48:00 | 只看该作者
    太谢谢楼主了，金山独霸根本没用，万能精灵，木马克星也杀不掉，谢谢谢谢～～～
    回复 支持 反对

    使用道具 举报

    格里风
  • TA的每日心情
    奋斗
    2017-11-21 10:16

    • 签到天数: 3 天

    [LV.2]偶尔看看I
    16楼
    发表于 2004-11-18 15:18:00 | 只看该作者
    真好
    回复 支持 反对

    使用道具 举报

    Eagle

    该用户从未签到
    17楼
     楼主| 发表于 2004-11-19 12:54:00 | 只看该作者
    为什么格里风给我一种很亲切的感觉呢？
    回复 支持 反对

    使用道具 举报

    amw 该用户已被删除
    18楼
    发表于 2004-11-28 15:24:00 | 只看该作者

    我也中了…………

    回复 支持 反对

    使用道具 举报

    小笨狗

    该用户从未签到
    19楼
    发表于 2004-12-1 15:21:00 | 只看该作者
    这个病毒我U盘上也出现过，不知道哪里来的，被我在第一时间发现格掉了，然后就好了～～～～～·
    回复 支持 反对

    使用道具 举报

    笑衫笑 该用户已被删除
    20楼
    发表于 2004-12-30 22:36:00 | 只看该作者

    两位高手真是厉害

    好佩服！

    回复 支持 反对

    使用道具 举报

    下一页 »
    12下一页
    返回列表 发新帖

    本版积分规则

    关闭

    下沙大学生网推荐上一条 /1 下一条

    快速回复 返回顶部 返回列表