話說自從Ghost.pif隨身碟病毒在本單位持續發威後…最特別的案例要屬某組長了…
依照前篇的匪區解法…在組長怹老人家毒發之前我著實救了不少電腦…
這個case算是很特別的…其他電腦解完後我的信箱就平靜了(不會收到警訊)
只有這台電腦…解完毒後不到半天又會收到通知…跑得我都有點不好意思了…(主因為該病毒額外下載的其他木馬與原病毒交叉掩護)
為了不負我曾經拿過的那張White Hat Hacking證書(自己去爬前文)…決定御駕親征和病毒正面開戰(匪區的方法似乎不完整…大陸貨靠不住啊)
我所採用的手法原理其實很簡單…就像遊戲大家來找碴…先把未感染的系統狀態記錄下來…
再來這一步一定要練過…(小朋友可千萬不要亂學啊
)…就是讓系統中毒…然後利用相同的工具採證…
)…就是讓系統中毒…然後利用相同的工具採證…交叉比對兩者的差異就可以找出病毒對系統幹了些什麼好事…然後再來找出反制的手法…
測試的平台是公發的筆電…Windows XP SP2+超強防毒軟體Trend OfficeScan(病毒碼705)
Sample來源則是組長的電腦(採樣方法簡單到不行…就是把隨身碟插進去…用我的電腦點兩下…)
分析結果有點長…我把他整理成一個純文字檔的筆記(請點此處參閱…內容就不po出來佔版面啦)
今天早上帶著筆記…驕傲又帶點歉意地跑去後棟找組長…亮出證件扣走他的電腦(純唬爛…這是電影情節好唄)
把病毒加進去的registry欄位全砍了…被病毒砍掉的欄位寫回去…順便把那些壞檔案全砍掉(在安全模式下進行)
這次我真的成功了…換得一早上的清靜…不過越想就越不爽…死要錢的TOS怎麼可以比免費的還爛咧？
真不知道該公司的工程師是都只會吃飯拉屎還怎樣…連我這個小小的鬼手小網管都抓得出來的東西他們卻沒有好的solution??
當下決定把那些他們家超強掃毒軟體認為沒問題的病毒檔和我這份筆記壓縮好丟過去(反正也掃不到…寄出很順利
)
)到下午神奇的事情發生了…我本來存在桌面上的sample檔突然有兩個被更新過病毒碼的超強OfficeScan偵測出來並且砍掉…
hmm…看來這家公司還或多或少有一點點賸餘價值啦…另外那十幾個就麻煩快點讓他可掃可隔離吧…
(心中的畫面…)
趨：在下是七國掃毒狀元兼死要錢軟體資本家…綽號毒王之王的毒將軍。閣下是？
枝：小弟玩過兩年電腦，某公司非專業部門裡的低等職員，小枝大人。
趨：好！我就來會一會你！(兩人互相凝視，蓄勢待發，突然……親了一下……眾人跌倒在地！)
枝：對不起，我倆惺惺相惜，情不自禁。
趨：言歸正傳，我們開始了。圖書裡，龍不吟虎不嘯，小小網管可笑可笑。
枝：棋盤裡，車無輪馬無韁，叫聲將軍提防提防…
枝：對不起，我倆惺惺相惜，情不自禁。
趨：言歸正傳，我們開始了。圖書裡，龍不吟虎不嘯，小小網管可笑可笑。
枝：棋盤裡，車無輪馬無韁，叫聲將軍提防提防…
*我知道改對白的橋段太過芭樂…後面幾個小時的劇情略*
—
不過好景不常…技師大人的師尊下午突然問我：我最近電腦怎麼都會有一堆1.exe, 2.exe…之類的檔案說執行錯誤啊？
乍聽之下…應該是這一隻病毒沒錯…就一派輕鬆地對他說：當然是因為中毒啊！看我的…*賞他一個陽光少年的陽光笑容*
代誌永遠不是像憨人想的那麼簡單…這次的症狀又和前面的有點像又不會太像(*door0.dll檔案特別多…registry砍了又被寫回)
最後很賊地偷用Backtrack把他的硬碟掛起來清檔案(感謝老天…他的老電腦還用FAT32…要是NTFS…倒地狂吐血的可能就是小網管我了)
所以說…今天又把份量很足的公發筆電提回家…今晚…套句技師大人的說法：你又要爆肝囉？ (該死的T牌掃毒…我恨你~~Orz)
ps.採樣的檔案在Linux中經MD5驗證…判定為變種…Linux真是太好用啦…如果以後用不到該怎麼辦啊~~~~*在地上滾來滾去*
林老師的卡好Blog 
果然是變種…我免費的avast!偵測到前一隻的名字是W32:Autorun-U [UPX] [Embedded#52f0]
而今天這個sample則是W32:Autorun-U [UPX] [Embedded#4ef0] 這樣…今夜又爆肝…來去睡 =_="
截至目前為止…病毒碼713已可清除之病毒檔列表：
11.exe
tldoor0.dll
Ghost.pif (Embedded#52f0 版的，4ef0尚未測試)
goskdl.dll
rksldk.dll
哈哈哈…..八目共賞，賞花、賞月、賞……..FW~~~
今天小弟也向技師大人說明過了…身為和你挖心掏肺的好兄弟…
哪天我有肉吃你一定有湯喝…看來你真的有點渇…
眼前這碗湯你就端去喝了吧…我絕對沒有第二句話 *飄移到一旁去吃肉*
—
八目…我二你四(加眼鏡)…然後…兩朵小菊花…太猛啦…技師大人是個人才(y)