-
-
[求助]奇怪的病毒，，高手进
-
发表于: 2009-8-23 12:00
-
1.该病毒表面运行后 任务管理和注册表禁用！用软件修复后 发现立刻又自动改回来了！
2.会下载木马!
3.在除了C盘所有盘下生成autorun.vbs 和system。exe 其中VBS 的作用就是调用EXE运行
4. 删除所有盘的exe和VBS 重做系统后 问题依旧！
5. 用OD调试 system。exe 对creatfile 断点 发下多次调用 创建文件 但是这些文件基本都找不到 用冰刃也看不到！
请问哪位大大大大侠有高招 指点一二！~~~感激不尽
补充：感谢各位朋友的建议；我想知道这个病毒怎么能清楚，我用命令删除注册表的 对应限制键值；用regmon检测 发现重写这个的进程可能是任意的；有可能是EXPLORER 结束了他又换成 CMD 后来又换成 CTFMON ！ 还有就是在 用OD 跟踪的时候，断下creatfile 发现 fileneme 有CMD rundll32 netsh neoskernel都有还有一些驱动；还有一些很奇怪的 例如 K:\BBEBWBD 这类的 这个计算机不会有K盘后面的字母随即的！
2.会下载木马!
3.在除了C盘所有盘下生成autorun.vbs 和system。exe 其中VBS 的作用就是调用EXE运行
4. 删除所有盘的exe和VBS 重做系统后 问题依旧！
5. 用OD调试 system。exe 对creatfile 断点 发下多次调用 创建文件 但是这些文件基本都找不到 用冰刃也看不到！
请问哪位大大大大侠有高招 指点一二！~~~感激不尽
补充：感谢各位朋友的建议；我想知道这个病毒怎么能清楚，我用命令删除注册表的 对应限制键值；用regmon检测 发现重写这个的进程可能是任意的；有可能是EXPLORER 结束了他又换成 CMD 后来又换成 CTFMON ！ 还有就是在 用OD 跟踪的时候，断下creatfile 发现 fileneme 有CMD rundll32 netsh neoskernel都有还有一些驱动；还有一些很奇怪的 例如 K:\BBEBWBD 这类的 这个计算机不会有K盘后面的字母随即的！
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
