搜索

[773] 2021-05-17_关于某实验室病毒分析报告

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-05-17_关于某实验室病毒分析报告 ❞ 关 于 某 实 验 室 病 毒 分 析 报 告 P i l o t - 拈 花 倾 城   b g b i n g 安 全   2 0 2 1 - 0 5 - 1 7 关 于 某 实 验 室 病 毒 分 析 报 告 关 于 某 实 验 室 病 毒 分 析 报 告 ❝ ❝ 4 月 2 1 日 晚 1 1 点 ， 双 眼 迷 离 的 我 看 着 已 经 2 个 小 时 没 有 预 警 的 全 流 量 设 备 ， 还 在 苦 苦 思 索 着 漫 漫 长 夜 何 时 才 能 等 来 白 班 交 接 的 师 傅 ， 这 个 时 候 手 机 屏 幕 亮 起 了 ， 警 觉 的 我 放 下 了 左 手 的 红 牛 和 右 手 的 卫 龙 ， 从 躺 椅 上 坐 直 了 起 来 ， “ 小 花 啊 ， 实 验 室 电 脑 种 病 毒 了 啊 ， 你 看 看 是 什 么 情 况 ， 大 致 就 是 师 傅 们 的 U 盘 文 件 全 部 变 成 了 e x e 文 件 ， 如 果 点 击 这 个 e x e 文 件 的 话 ， 是 没 有 运 行 结 果 的 ， 但 是 电 脑 桌 面 上 的 文 件 也 全 部 变 成 了 e x e 文 件 ， 赶 紧 分 析 一 下 是 什 么 情 况 ” 电 话 那 边 传 来 了 久 违 的 声 音 ， 于 是 大 家 就 看 到 了 下 面 的 分 析 报 告 。 前 期 信 息 前 期 信 息 病 毒 具 有 传 染 的 功 能 ， 是 通 过 u 盘 进 行 传 播 的 ， 所 有 文 件 会 变 成 一 个 e x e ， C + + 语 言 ， 没 有 壳 ， 3 2 位 处 置 背 景 处 置 背 景 人 在 外 地 无 法 在 已 经 被 感 染 主 机 上 进 行 分 析 ， 目 前 只 能 获 取 到 了 被 修 改 格 式 的 文 件 。 判 断 已 经 被 感 染 的 文 件 是 否 具 有 传 染 能 力 判 断 已 经 被 感 染 的 文 件 是 否 具 有 传 染 能 力 双 击 启 动 任 一 e x e 文 件 ， 在 p r o c n o m 中 监 控 信 息 如 下 解 读 ： 解 读 ： 「 「 S t e p 1 」 」 :   C r e a t e f i l e : 创 建 文 件     路 径 : 「 「 S t e p 2 」 」 :   Q u e r y D i r e c t o r y ： 查 询 目 录 ： 查 看 的 是 桌 面 上 的 文 件 「 「 S t e p 3 」 」 :   C r e a t e F i l e ： 路 径 ： 桌 面 ， 我 们 确 实 看 到 了 一 个 灰 色 的 文 件 C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r
「 「 S t e p 4 」 」 :   之 后 的 查 询 预 计 是 为 了 验 证 文 件 是 否 创 建 成 功 「 「 S t e p 5 」 」 :   Q u e r y D i r e c t o r y : 查 询 是 否 4 5 6 . e x e : Z o n e . I d e n t i f i e r 存 在 「 「 S t e p 6 」 」 :   R e g O p e n K e y   注 册 表 打 开 键   路 径 ： 「 「 S t e p 7 」 」 :   R e g Q u e r y K e y   读 取 注 册 表 默 认 值 「 「 S t e p 8 」 」 : 设 置 基 本 信 息 文 件 「 「 S t e p 9 」 」 :   验 证 完 整 性 以 上 是 点 击 会 在 电 脑 中 更 改 的 相 关 信 息 ， 不 能 判 断 出 是 否 存 在 , 文 件 ， 但 是 如 果 我 们 双 击 的 话 会 进 行 传 染 ， 根 据 已 知 情 况 适 用 于 x p 和 7 。 后 续 后 续 4 5 6 . e x e 的 行 为 如 下 的 行 为 如 下 H K L M S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n A p p   P a t h s 4 5 6 . e x e H K C U S o f t w a r e M i c r o s o f t W i n d o w s S h e l l N o R o a m M U I C a c h e C : D o c u m e n t s   a n d   S e t t i n g s A d m i n i s t r a t o r 桌 面 4 5 6 . e x e S e t B a s i c I n f o r m a t i o n F i l e 4 5 6 . e x e a u t o r u n i n i x x x . e x e
「 「 S t e p 1 」 」 :   L o a d I m a g e   装 载 镜 像 「 「 S t e p 2 」 」 :   C r e a t e F i l e M a p p i n g 创 建 一 个 新 的 文 件 映 射 内 核 创 建   S t e p 3 : 调 用 了 一 些 d l l 文 件 如 下 图 ： 执 行 流 程 行 为 行 为 高 危 :   设 置 注 册 表 实 现 自 启 动 中 危 ：
1 、 样 本 存 在 反 调 试 2 、 疑 似 存 在 键 盘 记 录 器 3 、 自 启 动 4 、 疑 似 存 在 检 查 I E 安 全 设 置 5 、 自 身 文 件 拷 贝 病 毒 预 测 病 毒 预 测 「 灰 鸽 子 变 种 木 马 」 「 灰 鸽 子 变 种 木 马 」 ： 杀 毒 软 件 即 可 「 「 V i r u s . W i n 3 2 . A u t o R u n 」 」 ： 有 局 域 网 传 播 可 能 ， 要 注 意 网 络 共 享 关 闭 ， 杀 毒 软 件 即 可 「 特 洛 伊 木 马 」 「 特 洛 伊 木 马 」 ： 存 在 被 远 控 可 能 ， 删 除 所 有 新 增 程 序 ， 后 使 用 杀 毒 软 件 感 染 样 本 信 息 感 染 样 本 信 息 「 「 S H A 2 5 6 」 」 ： b e d 1 0 a 1 2 c 6 4 2 0 4 4 1 2 a 3 0 5 1 7 7 6 c 8 c 4 f f 1 3 1 8 f a 4 2 3 f 3 4 7 5 b a d f a b a c 8 4 e 2 2 7 7 4 f 0 1 「 运 行 环 境 」 「 运 行 环 境 」   : w i n 7 _ s p 1 _ e n x 8 6 _ o f f i c e 2 0 1 3 「 样 本 类 型 」 「 样 本 类 型 」   : P E 3 2   e x e c u t a b l e   ( G U I )   I n t e l   8 0 3 8 6 ,   f o r   M S   W i n d o w s 解 决 办 法 解 决 办 法 「 「 S t e p 1 」 」 :   打 开 c m d   输 入 「 「 S t e p 2 」 」 :   终 止 进 程   指 令 ： * *   t a s k k i l l   / f   / i m   +   对 应 的 P I D 值   * *   / f   表 示 强 制 执 行   / i m   表 示 文 件 t a s k l i s t
红 框 中 是 可 疑 进 程 ， 所 以 我 这 里 的 指 令 就 是 具 体 要 k i l l 哪 些 进 程 ， 我 建 议 这 样 做     首 先 找 一 台 实 验 室 没 有 感 染 病 毒 的 电 脑 查 看 进 程 对 比 已 经 中 毒 电 脑 的 进 程 ， 讲 不 一 样 的 全 部 k i l l 即 可 「 「 S t e p 3 」 」 :   查 询 启 动 项 t a s k k i l l   / f   / i m   9 0 4 t a s k k i l l   / f   / i m   9 7 2 t a s k k i l l   / f   / i m   1 0 8 0 t a s k k i l l   / f   / i m   1 5 2 8
同 样 的 新 增 的 自 启 动 项 和 没 有 感 染 病 毒 的 电 脑 对 比 ， 禁 用 。 再 取 消 之 前 还 是 要 验 证 一 下 的 上 图 中 的 位 置 我 们 记 住 然 后 在 注 册 表 中 查 看 一 下 然 后 禁 用 ， 这 个 时 候 会 弹 窗 问 你 是 否 重 启 ， 这 个 时 候 不 要 重 启   再 回 注 册 表 刷 新 一 下 看 看 修 改 了 没 有 「 「 S t e p 4 」 」 :   进 入 文 件 夹 中 删 除 文 件 （ 通 过 c m d ） 「 「 S t e p 5 」 」 :   删 除 隐 藏 文 件
删 除 的 文 件 要 根 据 每 台 电 脑 的 实 际 情 况 进 行 。 「 「 S t e p 6 」 」 :   重 启 电 脑 注 意 ！ ！ ！ 注 意 ！ ！ ！ 其 实 可 以 先 试 试 直 接 用 杀 毒 软 件 恢 复 文 件 我 建 议 使 用 C H K 文 件 恢 复 专 家 ， 如 果 无 法 恢 复 的 话 就 凉 凉 了 。 「 「 S t e p 7 」 」 :   查 毒 软 件 跑 一 次 本 次 中 毒 原 因 分 析 本 次 中 毒 原 因 分 析 1 .   如 果 说 系 统 不 能 更 新 是 因 为 要 在 w i n 7 的 环 境 下 做 实 验 ， 那 么 一 定 要 按 时 更 新 杀 毒 软 件 的 病 毒 库 2 .   中 毒 原 因 大 概 率 是 因 为 有 师 傅 的 u 盘 中 带 了 已 经 被 感 染 的 文 件 ， 师 傅 们 u 盘 插 入 电 脑 后 又 双 击 感 染 文 件 导 致 电 脑 中 毒 3 .   中 毒 数 量 多 是 因 为 师 傅 一 直 换 着 电 脑 插 u 盘 ！ ！ ！ ！ 发 现 中 毒 之 后 切 记 不 要 再 插 了 ！ ！ ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理