Re: [問題]開機出現新的使用者zz02$

看板AntiVirus作者junorn (威廉華勒斯)時間16年前 (2009/08/11 00:01)推噓5(5推 0噓 5→)

留言10則, 4人參與討論串1/1

這個剛好是我最近在處理的東西大致情形是這樣首先這是病毒造成的沒錯這毒台灣人寫的，八成因為該毒使用的一些術語都是台灣用詞比如像"懶叫沒養" (我不是罵髒話><) "固定" "卸除" (讀取隨身碟用的) 這一些是台灣術語,所以研判是台灣人做的而這東西是使用 "純bat+vbs" 寫的，再利用bat to exe 和winrar壓縮之後傳出去原則上來說對各防毒廠商這兩種東西 (尤其是bat) 是很難抓得到的. 他大致的行為如下： 1.產生以下檔案並且入登錄值啟動 C:\WINDOWS\system32\dllcache\microsoftshell.exe 這一個檔案啟動之後靠windows內建的FTP.exe去下載遠端遙控木馬並執行常駐並執行自解檔至亂數位置 (目前看到大多都是c:\windows\system32\dllcache資料夾中在建一個資料夾) 2.產生一個到兩個帳號名稱叫做zz02$ zz01$ 這兩個帳號刪不掉，即使是使用administrator帳號也是刪不掉 3.產生的遠端遙控木馬會放置在 c:\program files\common files\microsoft shared\msinfo\6qre3ouo.avi (上面這個位置一樣，但名稱會稍微改一下,不過是不是遠端遙控木馬我不清楚 ,但因為是掛在svchost那邊所以我猜應該是.) 4.執行bat檔一直重複利用fsutil和findstr 尋找磁碟類型為 "卸除" "remove" 等的隨身碟，尋找到之後將裡面的所有資料夾以及txt rar zip pdf doc xls ppt 副檔名名稱的檔案 (感謝小精靈隨身碟清除病毒程式作者分析，我現在很懶的分析0rz) 如果有找到，則將該檔案隱藏起來 (加上隱藏屬性) 然後再將病毒壓縮包自己複製成和原本主檔名一樣，圖示一樣的exe檔引誘使用者點擊，而點擊後他會先執行病毒本體後再幫你將原本的檔案開啟XD 5.用虛擬機的有機會會死機，原因不明. 大致上是這樣的行為至於怎麼解？我這邊用我的解法 1.跑EFix ( 在他沒變種前應該是ok,前兩次改版就是針對他改的 ) 2.跑完後將隨身碟內偽裝的exe檔全部刪除,並將原本檔案隱藏屬性取消 3.這一個注意危險! 開啟登錄編輯程式 (regedit.exe) 開啟後找HKEY_LOCAL_MACHINE\SAM\SAM這一個按右鍵選使用權限將administrator的完全控制選項打勾打勾之後可以看到裡面的子選項再到HKEY_LOCAL_MACHINE\SAM\\SAM\Domains\Account\Users\Names這一項目將zz01$和zz02$刪除刪除後回復HKEY_LOCAL_MACHINE\SAM\SAM的使用權限 4.將首頁改回來，但要先將首頁不允許更改的登錄值刪除掉位置是HKEY_CURRENT_USER＼Software＼Policies＼Microsoft\Internet Explorer 大致是這樣. 這一個最近非常的多而且他上傳的FTP的位置基本上我也知道...連帳密我都知道XD 裡面資料非常多..... 請各位自己多加小心至於防止被盜的方式我前面幾篇有提到過近期的台灣盜帳號木馬上傳或下載都是使用windows內建的ftp.exe來做一個上下傳的動作，所以建議將ftp.exe列為防火牆的封鎖對象 (請不要用windows內建的，病毒會開啟) 或者是直接利用群組安全性原則將ftp.exe列為封鎖不允許執行對象就可以檔掉非常多台灣來的危害了.... ------------------------------------------------------------------------- 這一個最近真的很多，慢慢的原本一開始利用autorun.inf來作為感染途徑的病毒會慢慢轉變成為這種誘使點擊的病毒為主，請各位在使用隨身碟之前務必先確認你點的東西是不是有問題，可以的話就將副檔名顯示開啟，這樣他就破功了. -- 長路如淡夢無盡空嘆息月光照亮我心房野花輕搖指前路過失之痛滿胸中抬手長自撫願能將其拂欲言又止萬千語化作葉兒染愛色 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 59.112.80.45 ※ 編輯: junorn 來自: 59.112.80.45 (08/11 00:07)

推

z5776

08/11 00:09, , 1^F

08/11 00:09, 1^F

→

junorn

08/11 00:16, , 2^F

08/11 00:16, 2^F

推

batchild

08/11 01:32, , 3^F

08/11 01:32, 3^F