-
-
[分享]绕过360还原保护穿透冰点的样本
-
发表于: 2009-5-29 20:10
-
今天搞一个被感染的系统文件，试着在真机运行了下，任务管理器里多了一些随机名字的进程名，explorer.exe被感染，其他系统相关文件没有检测估计不止感染这一个。在每个盘符下都有autorun.inf和一个 1.exe 测试的系统为xp sp2 和xp sp3 ,其中xp sp3打全了官方公布的所有补丁。系统除了冰点 6.3.220.1875和360还原保护2.3.03再没有其他防护软件
希望有朋友能帮忙分析下这个病毒的原理
感谢fixfix在本贴12楼分离出病毒样本
感谢轩辕小聪在本贴25楼的分析，为我等小菜铺平了道路
感谢木桩在本贴35楼对func.dll的分析，很详细呀
感谢zhzhtst提供了样本的idb文件帮助辅助分析
zhzhtst效率太高了，佩服呀
pcidump.sys和其它几个驱动的idb文件
http://bbs.pediy.com/showthread.php?t=90248
感谢所有对本贴关注的朋友!
发这个帖子的初衷的想做一个anti的，从ring3下最简单的考虑，应该是创建一个互斥对象，病毒以为自己已经在运行了
小弟不才，还请各位大哥更深一层的指教
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
fix兄弟手脚真快，就差写个程序来对抗它了
现在想做一个anti，以后就不用再受它的苦了... |
|
|
|
|
|
我在OD里看那个傀儡exe，只是释放了2个dll，没有发现你说的这个....
这样就穿了？？？
|
|
|
|
|
|
扫了一眼，func.dll里扫描杀毒软件的进程
rundll32 func.dll, droqp droqp里发现了个 \\system32\\drivers\\acpiec.sys -> CreateFile （acpiec.sys在func.dll的资源SYS中） 难道这是killav的样本？拆开看看 果然是KillAV，还有个驱动：pcidump.sys。 关于修改的东西，看这个分析报告 |
|
|
|
|
|
|
|
|
？？？？？
兄弟你也有样本？？？
|
|
|
|
|
|
|
|
|
|
|
|
兄弟，能不能另外发一个贴？
免得引起混乱
|
|
|
|
