- 博客(0)
- 资源 (2)
- 收藏
- 关注
RSS订阅病态的行业产品意味着病态的公司或个人
趋势科技曾经说他们肯定不做病毒。
不知道国内公司敢不敢这么说？
中毒情形：
使用IE浏览器，Google搜索引擎搜索源代码统计程序，打开排列最前的大概10个网页，还没来得及看即有了下面的第一个特征。
估计是gif中漏洞被利用，执行了嵌入代码，防火墙设置阻止其访问网络之后，又重启系统，该文件已经消失（防火墙规则中显示该程序已经不存在。）
特征：
第一个异常试图访问网络，被防火墙提示的是：
360tray.??? (360tray.gif)
第二个异常是系统提示：系统文件被修改，并且数字签名有问题。询问需要系统盘恢复。
参考文件XPtips.png.（由于没有系统盘，直接关机，结果表示这是放弃恢复的操作。）
经数字签名检查，发现virus.png中的文件。
其中版本为5.1.2600开头的文件肯定是被篡改的，其中居然还包含了tcpip.sys。
atapi.sys不敢断定，但是怀疑。
spool中的文件应该还好，新打印机可能没和老xp(Microsoft Windows XP 5.1.2600)配合好。
???难道病毒篡改文件就用的是系统版本号？还是系统版本号也被篡改了？
第三个异常是查看系统中进程，会发现很多进程开始有1%-2%的CPU占用率，直接导致机器耗电量剧增，明显感觉电池使用时间缩短25%左右。
第四个偶然发现的异常：
当打开文件名有“防火墙”、“病毒”、“杀毒”、“木马”字样时，会被自动关闭。
但是对显然的英文名却不敏感，例如“firewall”、“virus”、“killer”。
根据反应频率，会发现大概3秒轮询一次所有打开窗口，发现一些特定字样的打开文件，直接将其关闭。另外，还有些时候会刷新屏幕，感觉明显。
第五个未知问题：换操作系统，在Windows系统盘看见一个文件: Systesm.exe。
文件名就很奇怪，位置更加奇怪。
但是再换到Windows下，必须同时开显示隐藏文件和系统文件，才能看见。
其属性仅有数字签名，显示：
签名人姓名：“Qizhi Software (beijing) Co. Ltd”
电子邮件地址：不可用
时间戳：2009年10月21日 20:54:51
详细信息显示反签名人姓名：VeriSign Time Stamping Services Signer - G2
2009-11-28
修改系统文件的virus
中毒情形：
使用IE浏览器，Google搜索引擎搜索源代码统计程序，打开排列最前的大概10个网页，还没来得及看即有了下面的第一个特征。
估计是gif中漏洞被利用，执行了嵌入代码，防火墙设置阻止其访问网络之后，又重启系统，该文件已经消失（防火墙规则中显示该程序已经不存在。）
特征：
第一个异常试图访问网络，被防火墙提示的是：
360tray.??? (360tray.gif)
第二个异常是系统提示：系统文件被修改，并且数字签名有问题。询问需要系统盘恢复。
参考文件XPtips.png.（由于没有系统盘，直接关机，结果表示这是放弃恢复的操作。）
经数字签名检查，发现virus.png中的文件。
其中版本为5.1.2600开头的文件肯定是被篡改的，其中居然还包含了tcpip.sys。
atapi.sys不敢断定，但是怀疑。
spool中的文件应该还好，新打印机可能没和老xp(Microsoft Windows XP 5.1.2600)配合好。
???难道病毒篡改文件就用的是系统版本号？还是系统版本号也被篡改了？
第三个异常是查看系统中进程，会发现很多进程开始有1%-2%的CPU占用率，直接导致机器耗电量剧增，明显感觉电池使用时间缩短25%左右。
第四个偶然发现的异常：
当打开文件名有“防火墙”、“病毒”、“杀毒”、“木马”字样时，会被自动关闭。
但是对显然的英文名却不敏感，例如“firewall”、“virus”、“killer”。
根据反应频率，会发现大概3秒轮询一次所有打开窗口，发现一些特定字样的打开文件，直接将其关闭。另外，还有些时候会刷新屏幕，感觉明显。
第五个未知问题：换操作系统，在Windows系统盘看见一个文件: Systesm.exe。
文件名就很奇怪，位置更加奇怪。
但是再换到Windows下，必须同时开显示隐藏文件和系统文件，才能看见。
其属性仅有数字签名，显示：
签名人姓名：“Qizhi Software (beijing) Co. Ltd”
电子邮件地址：不可用
时间戳：2009年10月21日 20:54:51
详细信息显示反签名人姓名：VeriSign Time Stamping Services Signer - G2
2009-11-28
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人