首页
社区
课程
招聘
[原创][第三阶段]看雪论坛.腾讯公司2008软件安全技术竞赛
发表于: 2008-11-1 17:32 4338

[原创][第三阶段]看雪论坛.腾讯公司2008软件安全技术竞赛

2008-11-1 17:32
4338
病毒描述:
    病毒运行后,打开\\.\slHBKernel32驱动设备创建HBKernel32.sys到%System32%\drivers目录下,创建病毒服务,添加注册表启动项,衍生病毒DLL文件"HBQQXX.dll、system.exe"到%System32%目录下,试图将病毒DLL文件注入到所有进程,创建病毒互斥量名为:"HBInjectMutex",防止病毒多次运行,创建system.exe病毒进程,启动病毒DLL文件,加载完毕后删除临时文件夹下的病毒文件,病毒运行完毕后删除自身。
修改、添加注册表启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs
描述:添加AppInit_DLLs启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
描述:添加开机启动项
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\HBKernel32HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\HBKernel32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\HBKernel32
描述:添加驱动服务

清除方案:
向驱动发包,取消system.exe进程的保护,删除System.exe
远程卸载所有进程里的 HBQQXX.dll ,然后修改HBQQXX.dll 文件名(由于驱动的保护,无法删除)
提高进程的权限,然后打开驱动句柄,关闭驱动句柄,删除驱动文件 HBKernel32.sys
重启计算机。这时,System.exe文件已经删除,HBQQXX.dll文件已经改名 HBKernel32.sys文件已经删除。机器重启后,驱动无法加载,HBQQXX.dll也不能注入
删除改名后的HBQQXX.dll文件,恢复注册表内容
清除完毕。

科锐学子:沙金

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
收藏
免费 0
支持
分享
最新回复 (9)
雪    币: 264
活跃值: (30)
能力值: ( LV12,RANK:250 )
在线值:
发帖
回帖
粉丝
2
可杀
基础分90分
文档加10分
删除文件加2分
最终得分102分
2008-11-13 09:59
0
雪    币: 26
活跃值: (45)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
牛,我的qq,26845822,希望和lz这样的牛人能成为朋友
2009-10-16 16:55
0
雪    币: 19
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
支持两下吧,可望而不可及啊。
2009-12-3 09:02
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
牛人。来膜拜一下
2009-12-12 13:48
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
虽然过了一年多的贴,但是还是忍不住葱白一下
2010-1-7 21:41
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
很强,自己看了代码,自愧不如
2010-3-20 16:07
0
雪    币: 232
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
还没到这个火候,先支持吧
2010-6-7 08:59
0
雪    币: 203
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
厉害啊,我的QQ是543529502加我
2010-6-7 22:56
0
雪    币: 200
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
lz 很强!我最烦就找手动清除木马
2010-8-29 02:14
0
游客
登录 | 注册 方可回帖
返回
//