Bdstudy0 Bdstudy0
关注数: 44 粉丝数: 177 发帖数: 3,327 关注贴吧数: 88
蓝翔挖掘机视频火爆,“挖掘机”病毒惊险网络 病毒名称: Win32.worm/TrojanDownloader.generic_c.99635 病毒类型:木马下载器兼蠕虫特整 SHA1: 3ed481ed4280121aea776575a3417a45a2f833b2 MD5:4af6fc803004ac49cc6effaf8e 特征码:AF%00B9C%?DDFFA028FFE%BB%DA 危害等级:4 文件长度: 脱壳前40,703 字节,脱壳后200,656 字节 受影响系统:Microsoft Windows NT 4.0 Microsoft Windows NT 4.0 Terminal Services Edition Microsoft Windows 2000 Microsoft Windows XP Microsoft Windows Server 2003 开发工具: Delphi/Microsoft VC++ 6.0 加壳类型: Upack 0.3.9 beta2s -> Dwing 病毒描述: 病毒复制自身到系统system\目录,文件名称jjxzwzjy090121.exe,并释放出jjxzajcj32dl.dll。 通过CreateMutex函数返回的句柄拥有MUTEX_ALL_ACCESS创建互斥体,终止kav.exe,avp.exe(卡巴斯基进程),esfram.exe(eset nod32进程),rav.exe(瑞星进程),360safe.exe、360tray(360相关进程),TXprotect.exe(腾讯管家进程),avir.exe,afram.exe(小红伞相关进程) 三、行为分析: 1、病毒复制自身到系统system\目录,文件名称jjxzwzjy090121.exe,并释放出jjxzajcj32dl.dll,host,ctfm.exe替换系统文件,hook相关杀软进程,得到程序版本和病毒库版本,通过创建含木马信息的配置文件到C:\Documents and Settings\All Users\目录下,名称为“jjjydf16.ini”和“jjjygf.ini”。劫持iexplorer.exe并下载大量木马病毒 联网状态下访问: hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.a3168.com%2Fmydown.asp%3Fver%3D090121%26tgid%3D2%26address%3D00-00-00-00-00-00&urlrefer=7bd28d8304109bbb085caa2df03ecfa0 内容为: begin 1,090121,10241,hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.wew2223.cn%2Fnew%2Fshengji.exe&urlrefer=e28a466cc84bc2d9a99af70b642b43c7,120,1,180,1,10000,17,0,1,0,1 7, 2,0,34000,hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.wew2223.cn%2Fnew%2Fcss.exe&urlrefer=358289c3e2fd3cdde5fd6584e803c8dc,10,0-24,, 2,0,47000,hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.wew2223.cn%2Fnew%2Fggg.exe&urlrefer=49f9dd0f07908749f8b2bf65e8594fb5,30,0-24,, 2,90120,16000,hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.wew2223.cn%2Fnew%2F30.exe&urlrefer=4f060c3e2aeffc96412a5bd2c76cdf38,100,0-24,, 2,0,148000,hxxp://http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fwww.wew2223.cn%2Fnew%2Fmsn180.exe&urlrefer=beba4b40b17e9b0c474460d21f79eed2,10,0-24,, 3,127.0.0.1,js.tongji.cn.yahoo.com 3,127.0.0.1,img.tongji.cn.yahoo.com end 以下是部分核心代码: 修改host文件内容为: CODE:0040DFE2 mov eax, [ebp+var_34] CODE:0040DFE5 call sub_40AEC0 ; /修改hosts文件,drivers\etc\hosts CODE:0040DFE5 ; 127.0.0.1 img.tongji.cn.yahoo.com CODE:0040DFE5 ; 127.0.0.1 js.tongji.cn.yahoo.com CODE:0040DFE5 ; 127.0.0.1 js.tongji.cn.yahoo.com CODE:0040DFE5 ; 127.0.0.1 img.tongji.cn.yahoo.com CODE:0040DFEA 修改注册表键值: Upack:00178F05 call sub_177E54 ; /修改注册表达到自启动目的 .Upack:00178F53 call modify_reg_ ; /修改注册表键值:dlncjjcdfc .Upack:00178F53 ; /指向数据:%SystemRoot%\system\jjxzwzjy090102.exe,提权,遍历进程 CMD命令终止杀软进程: Upack:00178C8C call sub_176960 ; 遍历枚举下列安全进程名,一旦发现尝试使用“ntsd -c q –p pid ”命令关闭该安全进程,实现自身的保护 使用cmd命令 /c cmd taskkill /im **.exe(遍历磁盘和进程查找相关杀软)/u .Upack:00178C8C ; RUNIEP.exe .Upack:00178C8C ; KRegEx.exe .Upack:00178C8C ; KVXP.kxp .Upack:00178C8C ; 360tray.exe .Upack:00178C8C ; RSTray.exe .Upack:00178C8C ; QQDoctor.exe .Upack:00178C8C ; DrRtp.exe 该病毒主要通过一些视频网站的播放器和actix控件传播,修补名为CVE_KB809661111漏洞即可避免插件威胁。 建议广大同学切勿随便点击视屏网站的连接以及下载器。下载后的未知文件不要轻易运行,强烈建议打开下载保护,及时升级杀软的程序版本和病毒库版本(强烈推荐avast!和小A,以及卡巴斯基,BD等。国内的推荐腾讯管家和360杀毒(不要卫士,卫士是渣)以及金山都可以有效清除该病毒。
【浅谈“内存不能为written/read”】 声明:本文转自《黑客防线2011精华本》 内存错误并不罕见,而某某处“内存不能为written/read”错误更为常见。错误产生的原因主要分为软件和硬件两种,硬件原因通常与内存和主板的内存插槽有关,而软件原因则是与Windows操作系统的设计构架有关。 我们知道,基于X86构架的计算机是根据冯·诺依曼提出的体系搭建的,其特点之一就包括运行代码和运算数据共享同一片内存空间。从效率角度看,可以减少IO以及调度的开销,简化了执行流,这对计算机的性能是一大提高,但从操作系统的安全角度来看,就无疑是一场灾难,因为数据代码事实上只存在逻辑上的区别,精心设计的植入数据完全可以用于运行,改变程序逻辑,从而危害系统安全。 然而'这个不安全隐患又没办法从硬件级别解决,于是现在的操作系统如Windows和Linux,都提出来了软件级别解决的方案。方法是给内存赋予属性,包括可读(read),可写(write),可执行(execute)等。Windows对于内存的属性设置,我们可以通过申请内存的API——virtualAlloc来查看,其C声明为 其中第四个参数flprotect就是用来设定申请内存的属性,也叫内存访问类别,常见的有PAGE_READONLY(只读),通常保存在程序中的常量会使用该属性;一般的数据则会设置为PAGE_READWRITE(可读写),而代码则会设置成PAGE_EXECUTE_READ(可读壳执行)。这样Windows就会通过自身内存管理,实现了基本的数据与代码的隔离,当程序一旦不包含写属性的内存区域尝试写操作,就会报出“内存不能为written”的错误。 然而从上面的属性来看,基本都包括了读的属性,为什么还会有“内存不能为read”的错误呢?这是因为Windows的内存分为系统空间和用户空间两种,通常为2GB的大小,用户内存空间用来运行用户程序以及所需的dll,每个用户进程都有自己的“独享”的用户空间,即所谓的进程管理,除非调用了API,否则一条用户进程无法对另一条用户进程的内存进行任何操作,甚至无法“看到”。而系统空间是用来运行Windows内核以及驱动等系统组件,其中的代码都在Ring0下执行,具有极高的执行权限,并且都共用一片内存,没有进程隔离概念,这也就是我们为什么可以通过编写的驱动类程序直接修改Windows内核代码。 显然,为了保证Windows系统的正常运行和安全,系统空间是不能让用户空间的代码随随便便就访问的。CPU在运行用户空间的代码时,是处于Ring3级别,是无法对处于Ring0级别的内存做任何操作,包括读操作。因此,如果程序一旦尝试读取高于2G的内存空间(即地址高于0x7FFFFFFFY),就会报出“内存不能为read”的错误。
1 下一页