kangtian0的专栏

趋势科技曾经说他们肯定不做病毒。 不知道国内公司敢不敢这么说？ 中毒情形： 使用IE浏览器，Google搜索引擎搜索源代码统计程序，打开排列最前的大概10个网页，还没来得及看即有了下面的第一个特征。 估计是gif中漏洞被利用，执行了嵌入代码，防火墙设置阻止其访问网络之后，又重启系统，该文件已经消失（防火墙规则中显示该程序已经不存在。） 特征： 第一个异常试图访问网络，被防火墙提示的是： 360tray.??? (360tray.gif) 第二个异常是系统提示：系统文件被修改，并且数字签名有问题。询问需要系统盘恢复。 参考文件XPtips.png.（由于没有系统盘，直接关机，结果表示这是放弃恢复的操作。） 经数字签名检查，发现virus.png中的文件。 其中版本为5.1.2600开头的文件肯定是被篡改的，其中居然还包含了tcpip.sys。 atapi.sys不敢断定，但是怀疑。 spool中的文件应该还好，新打印机可能没和老xp(Microsoft Windows XP 5.1.2600)配合好。 ???难道病毒篡改文件就用的是系统版本号？还是系统版本号也被篡改了？ 第三个异常是查看系统中进程，会发现很多进程开始有1%-2%的CPU占用率，直接导致机器耗电量剧增，明显感觉电池使用时间缩短25%左右。 第四个偶然发现的异常： 当打开文件名有“防火墙”、“病毒”、“杀毒”、“木马”字样时，会被自动关闭。 但是对显然的英文名却不敏感，例如“firewall”、“virus”、“killer”。 根据反应频率，会发现大概3秒轮询一次所有打开窗口，发现一些特定字样的打开文件，直接将其关闭。另外，还有些时候会刷新屏幕，感觉明显。 第五个未知问题：换操作系统，在Windows系统盘看见一个文件: Systesm.exe。 文件名就很奇怪，位置更加奇怪。 但是再换到Windows下，必须同时开显示隐藏文件和系统文件，才能看见。 其属性仅有数字签名，显示： 签名人姓名：“Qizhi Software (beijing) Co. Ltd” 电子邮件地址：不可用 时间戳：2009年10月21日 20:54:51 详细信息显示反签名人姓名：VeriSign Time Stamping Services Signer - G2

中毒情形： 使用IE浏览器，Google搜索引擎搜索源代码统计程序，打开排列最前的大概10个网页，还没来得及看即有了下面的第一个特征。 估计是gif中漏洞被利用，执行了嵌入代码，防火墙设置阻止其访问网络之后，又重启系统，该文件已经消失（防火墙规则中显示该程序已经不存在。） 特征： 第一个异常试图访问网络，被防火墙提示的是： 360tray.??? (360tray.gif) 第二个异常是系统提示：系统文件被修改，并且数字签名有问题。询问需要系统盘恢复。 参考文件XPtips.png.（由于没有系统盘，直接关机，结果表示这是放弃恢复的操作。） 经数字签名检查，发现virus.png中的文件。 其中版本为5.1.2600开头的文件肯定是被篡改的，其中居然还包含了tcpip.sys。 atapi.sys不敢断定，但是怀疑。 spool中的文件应该还好，新打印机可能没和老xp(Microsoft Windows XP 5.1.2600)配合好。 ???难道病毒篡改文件就用的是系统版本号？还是系统版本号也被篡改了？ 第三个异常是查看系统中进程，会发现很多进程开始有1%-2%的CPU占用率，直接导致机器耗电量剧增，明显感觉电池使用时间缩短25%左右。 第四个偶然发现的异常： 当打开文件名有“防火墙”、“病毒”、“杀毒”、“木马”字样时，会被自动关闭。 但是对显然的英文名却不敏感，例如“firewall”、“virus”、“killer”。 根据反应频率，会发现大概3秒轮询一次所有打开窗口，发现一些特定字样的打开文件，直接将其关闭。另外，还有些时候会刷新屏幕，感觉明显。 第五个未知问题：换操作系统，在Windows系统盘看见一个文件: Systesm.exe。 文件名就很奇怪，位置更加奇怪。 但是再换到Windows下，必须同时开显示隐藏文件和系统文件，才能看见。 其属性仅有数字签名，显示： 签名人姓名：“Qizhi Software (beijing) Co. Ltd” 电子邮件地址：不可用 时间戳：2009年10月21日 20:54:51 详细信息显示反签名人姓名：VeriSign Time Stamping Services Signer - G2