论坛里的毒瘤-论坛视频病毒

jim19

前几天看论坛的本周热门里有不少不错的视频出现，于是就下载下来看看了。这里拿”希捷高级操作视频教程.exe“来说说事。 咋一看是flash转的exe的图标，于是也没多想就直接运行了。可是却发现这个文件消失不见了。靠！他妈的一看就知道是病毒，这么鬼鬼朗朗的。。。
0 ?5 P4 z) I3 e" D) s# f
于是又解压出来一个。查看是什么语言写的。
& z3 E0 s, {0 P1 o8 ^. ]3 W

Nullsoft PiMP Stub [Nullsoft PiMP SFX] * 这个东西是NSIS打包和压缩的可执行安装程序。这个压缩包里的打包了视频文件和录像文件。用NSIS压缩打包后的程序很多杀毒软件杀不出来。
# P. g  }+ I- C5 ~
网上也没有找到解压缩的办法。没办法反正机器也挂了，直接运行病毒并且对病毒进行相关监控。
4 a/ Y& h/ p& D& c" T- `! ?; P
) ~: T% H. B, _2 \  y先用OD和记事本看看里面代码和字符串。
5 V. D3 ~- B# }) q+ \$ m: d
- P! T/ R! ~' t: p& S
! }6 Z/ Q$ q  q比较有意思的是发现了 xxrongcun.3322.org，这个3322.org一般都是黑客在用啊。病毒制造者太阴险了。。哎。。。

$ K# }2 N+ |7 d; {* Q( A进一步的监控：


& V# T7 L5 g! I$ _8 j% Q9 V
发现了该进程创建历史记录，病毒在运行期间一共做了三件事。
( N9 n5 n2 p6 ]+ H* m0 E- ~1. 拉屎：释放两个一下文件到系统账户目录的All Users里（详见下图）
" `- o7 ~4 J6 W
. t% p! q/ ~4 O+ w7 b, S; F; M" T' S
2. 撒尿：将上图中的那个可执行文件进城插入IE达到隐蔽的效果。
8 L( o$ k  g1 ?. G# }
1 @, ^2 N% }; F5 S4 Q3. 擦屁股：创建一个bat文件，删除病毒文件。
# ]- K3 d1 Y; a& t
: A, y4 D+ P8 u8 n
好了，就说到这，至于病毒到底干什么用的，就不多牵扯了，反正危害不是很大，不过大家也不要掉以轻心哦。
% l# K3 ]9 a% a提两个建议：
5 K: Q1 O0 Q7 G$ ^; y, ?& E" k8 K1. 尽量不要运行部信任的可执行程序，防止不法分子利用病毒盗取技术资料和个人信息。
/ h( v7 w) j/ g9 G/ N8 u2. 还请论坛管理员多多注意啊，将这群不法分子一网打尽。

, t* x* \, @: O$ e# m6 n8 ?



# m/ N  K  R% b

intohard

前几天看论坛的本周热门里有不少不错的视频出现，于是就下载下来看看了。这里拿”希捷高级操作视频教程.exe“来说说事。 咋一看是flash转的exe的图标，于是也没多想就直接运行了。可是却发现这个文件消失不见了。靠！ ...
9 R) J1 j' |( m3 J, Z5 L! ejim19 发表于 2010-1-13 06:23

                               
登录/注册后可看大图

/ P9 t: j2 R- J/ b# `0 M
那个帖子地址你还知道吗？

hcekun

汉无止境呀，又见高人呐

flx

来好好学学

yzz

楼主好心人啊，持术高心也好。

xiongdeyuan

不错，支持楼主

xiongdeyuan

不错，支持楼主

xiongdeyuan

楼主好心人啊

open5858

楼主是个牛人啊，看来你是百毒不侵，呵呵。

xjhal7101

找到他直接删号，封ID。