返回列表 发帖

[讨论]让人恶心的U盘病毒

[讨论]让人恶心的U盘病毒
议题作者:刘的林
信息来源:邪恶八进制信息安全团队(www.eviloctal.com

现在的U盘病毒传播是越来越猖狂了,原来建立免疫文件夹的方法现在已经失效了.因为只要把名字该下就ok了.
前几天我把U盘格式化为NTFS了,把免疫文件夹的属性设置成了 如图所示:

fyplmfo.rar (68.62 KB)  fyplmfo.rar (68.62 KB)
恶心的样本
下载次数: 99

2008-4-12 19:12
前几天上机房的时候发现又被改名了,我真的晕了..难道病毒用CACLS把权限给该了么?
我看了下权限没变啊.那它怎么该的?不可能绕过Windows磁盘的安全机制直接更改了把.
现在有什么方法可以不让U盘中病毒么?不要指望让机器怎么样,机器有还原系统,但是只还原C盘.
本来打算用System Safety Monitor来看下病毒的运行机制.但是在网吧不方便操作.还请大家想想办法把~我真的是没有办法了~
病毒样本在包里..ωǒ會學著放棄你ゞ是因爲ωǒ太じovの你..

帖子36 精华0 积分105 阅读权限40 性别男 来自枣庄 在线时间24 小时 注册时间2007-6-2 最后登录2008-4-26 查看个人网站
查看详细资料引用 报告 回复 TOP 赚更多的钱

xiaoxyz
晶莹剔透§烈日灼然


我也中过
帖子7 精华0 积分18 阅读权限40 在线时间2 小时 注册时间2008-5-20 最后登录2008-6-24 查看详细资料引用 报告 回复 TOP

zerosoul
晶莹剔透§烈日灼然

TOP

用压缩文件打开试试,如果U盘里与病毒能看到,
如果是电脑的的病毒,就把自动播放关了,
U盘病毒一直监测是不是把病毒删了,所以说一直在硬盘,U盘之间读取数据,可以很明显的感觉到U盘很热,AUTOTUN害死很多U盘了。
一定要注意防范,2楼说用Windows徽标键+E
不错,我经常用

帖子5 精华0 积分8 阅读权限40 性别男 在线时间5 小时 注册时间2006-1-3 最后登录2008-7-13 查看个人网站
查看详细资料引用 报告 回复 TOP

zerosoul
晶莹剔透§烈日灼然

TOP

我汗,完了完了,照这么说只有禁用自动运行了....
我几天前去学校复印店插了一下,结果U盘狂闪,就是打不开,我拔了回来插电脑上,发现原来的所有资料全没了,只在里面躺着6个不同种类的U盘病毒和一个Autorun.inf(6个病毒抢一个Autorun.inf,再汗一下)
然后就格式化成了NTFS格式。我试了好几种权限配置方法,对IceSword都是没用的。
一下的权限配置只针对Autorun.inf这一个文件。
包括:
1.添加所有用户,都拒绝访问。
2.删除所有用户。
3.添加everyone,拒绝。删除其它。
4.添加everyone,system,Administators,拒绝,删除其它。
等等......
发现这些配置对IceSword都是没用的,可以直接删,看来的确进入了Ring0,怎么配置都是徒劳.....
我最后的配置是删除所有用户。虽然过不了IceSword,一般的毒还是可以防的。
今天去了躺机房,被感染了一个sysinfo2.dll,不过Autorun.inf文件夹没有被删掉。

帖子30 精华0 积分58 阅读权限40 性别男 在线时间29 小时 注册时间2007-12-13 最后登录2008-7-10 查看个人网站
查看详细资料引用 报告 回复 TOP

121319426
晶莹剔透§烈日灼然

TOP

防U盘病毒 试试 kill

还可以吧
帖子8 精华0 积分17 阅读权限40 性别男 在线时间1 小时 注册时间2007-5-31 最后登录2008-5-26 查看详细资料引用 报告 回复 TOP

sunfuyun
晶莹剔透§烈日灼然

TOP

就算你用cacls.exe设置免疫目录的权限,文件名还是可以改的...
作者可以先cacls.exe解除权限,然后再尝试删除目录,如果删除失败,可以把目录改名的...
帖子35 精华0 积分128 阅读权限40 在线时间18 小时 注册时间2007-9-24 最后登录2008-7-6 查看详细资料引用 报告 回复 TOP

zilei
晶莹剔透§烈日灼然

TOP

引用:
原帖由 taiwansee 于 2008-4-16 13:06 发表
楼主:你的图没看到。。。
如下假象:
现机房有N台机子,其中1、2号机器已经中毒。
你是在1号机器上做的权限设置(楼主提到你上机房),
现先假设你后来在2号机器上插入U盘,那么:
在2号机上当用属于Administrators 的用户登录Windo ...
支持这种说法,我也遇到过这种情况,就是只要开机插U盘或者移动硬盘就扫描,在机房的一台机子上改了,我开始还以为成功了,但到另一台就么有用了.

还有一种情况就是图表缓冲的很这个也是一个道理,只保存在你操作的计算机上,并没有保存在硬盘中.

帖子15 精华0 积分154 阅读权限40 来自河北 在线时间12 小时 注册时间2007-9-24 最后登录2008-7-5 查看详细资料引用 报告 回复 TOP

永远一个人
还没入门

晶莹剔透§烈日灼然

TOP

权限并不是万能的。记得在哪见过这么一句底底驱动层根本没有NTFS权限这个概念。。。。

帖子11 精华0 积分29 阅读权限40 性别男 在线时间5 小时 注册时间2008-5-13 最后登录2008-6-2 查看详细资料引用 报告 回复 TOP

7个b
晶莹剔透§烈日灼然

TOP

我刚刚找了个叫 U盘病毒防护盒 不知道效果怎么样。我是做维护的 最烦的就是U盘病毒了

帖子1 精华0 积分1 阅读权限40 性别男 在线时间1 小时 注册时间2008-4-24 最后登录2008-4-30 查看个人网站
查看详细资料引用 报告 回复 TOP 让女孩一夜变的更有女人味

1111222334
晶莹剔透§烈日灼然

TOP


很有道理
不管怎样 权限都是人赋予的
进了Ring0级 什么都是白费
帖子1 精华0 积分3 阅读权限40 在线时间1 小时 注册时间2007-8-29 最后登录2008-4-30 查看详细资料引用 报告 回复 TOP

大漠雪花
就是为了能有知道更多

晶莹剔透§烈日灼然

TOP

回复 楼主 刘的林 的帖子
给大家说下我的权限是
      把所有的 组 都选中(包括SYSTEM) 然后都给了 拒绝的权限。
      还有我用一些 U盘专杀病毒 杀得时候 看到了 CACLS的身影。病毒该不会是 在感染的时候把权限给该了 然后成功后在给该回来吧~ωǒ會學著放棄你ゞ是因爲ωǒ太じovの你..

帖子36 精华0 积分105 阅读权限40 性别男 来自枣庄 在线时间24 小时 注册时间2007-6-2 最后登录2008-4-26 查看个人网站
查看详细资料引用 报告 回复 TOP 良辰择日,预测咨询,公司改名,权威易经

MeLoveChang
晶莹剔透§烈日灼然

TOP

回复 板凳 letwuwu 的帖子
那删掉NTFS所有者权限呢??IS也行??

回椅子 - -|
资源管理器确实有效,更简单的是地址栏,下拉,选择盘符
帖子1 精华0 积分1 阅读权限40 在线时间0 小时 注册时间2008-4-19 最后登录2008-4-19 查看详细资料引用 报告 回复 TOP 良辰择日,预测咨询,公司改名,权威易经

刘的林
晶莹剔透§烈日灼然

TOP

楼主:你的图没看到。。。
如下假象:
现机房有N台机子,其中1、2号机器已经中毒。
你是在1号机器上做的权限设置(楼主提到你上机房),
现先假设你后来在2号机器上插入U盘,那么:
在2号机上当用属于Administrators 的用户登录Windows 2000/XP/2003 和关闭UAC机制的Vista系统时,你的NTFS U盘里的文件有没有设置权限都是白忙活的。(Why?)
现再假设你后来又在1号机器上插入U盘,那么:
在1号机上当用属于Administrators 的用户登录Windows 2000/XP/2003 和关闭UAC机制的Vista系统时,你对NTFS U盘里的文件设置权限有可能是白忙活的:
假如病毒已经进入Ring0,那么你怎么设置权限都是白忙活了;
假如病毒只是继承当前用户权限,那么权限设置就能生效。
另:
U盘可以如下操作而防止一打开就中毒:
1、插入U盘
2、等待一小会,观察屏幕,如有任何窗口跳出,都关闭。如果没有窗口跳出,继续下一步
3、按Windows徽标键+E
4、在左边的树形窗口上找到你的U盘,比如是K盘,然后单击它
5、这时,在右边的区域就能显示你的U盘内容了。。。
注意:做完第三步,右边的区域就能看到U盘的图标了,但是千万不用左键或者右键打开它。

TOP

只要只要你上的那台机子是以administrator权限或以上的权限运行.怎么改都没用.实验一下.你把权限改得更加bt一点.然后用icesword修改看看.照样能改.因为icesword在ring0下运行.你把icesword想象成那个病毒.所有疑问都没了鸟大了,什么林子都飞.
帖子12 精华0 积分25 阅读权限40 性别男 来自南方 在线时间6 小时 注册时间2008-4-6 最后登录2008-7-18 查看详细资料引用 报告 回复 TOP

tedrick
晶莹剔透§烈日灼然

TOP

你那个不是简单的u盘病毒了
具体点应该是黑客类的病毒
不过好在这个病毒ms比较老一般的都可以杀了
帖子1 精华0 积分1 阅读权限40 在线时间2 小时 注册时间2008-4-16 最后登录2008-5-8 查看详细资料引用 报告 回复 TOP 爱要怎么说出口

taiwansee
荣誉会员

TOP

返回列表