| [Question] Một ví dụ về phân tích của BKAV. |
07/07/2007 00:22:59 (+0700) | #1 | 69345 |
![[Avatar]](/hvaonline/images/avatar/6d8fd617dbf3e2c1e12be59585cdb1f9.jpg "[Avatar]")
|
tmd
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 28/06/2006 03:39:48
Messages: 2951
Offline
|
|
Trích nguyên văn không thiếu chử nào.
Virus, Spyware, Adware
Danh sách malware cập nhật ngày 05/07/2007
UkuranB, PMonTE, WareZobXF, RontokbroGE, LogOneN.PE, Ukuran...
Malware cập nhật mới nhất:
* Tên malware: W32.Ukuran.Worm
* Loại: Worm
* Ngày phát hiện mẫu: 05/07/2007
* Kích thước: 215Kb
* Mức độ phá hoại: Cao (Cực kỳ cao)
Nguy cơ:
* Ăn cắp thông tin cá nhân.
* Làm giảm mức độ an ninh của hệ thống.
* Phá hủy dữ liệu
Hiện tượng:
* Thay đổi các file .doc, .xls... và đổi tên các file này thành file .exe.
* Thay đổi registry.
Cách thức lây nhiễm:
* Tự động lây nhiễm vào USB: Lây vào tất cả các file .doc, .xls, ... trong ổ đĩa USB
* Phát tán qua các trang web độc hại.
Cách phòng tránh:
* Không nên mở các ổ USB mới chưa được quét virus bằng cách nháy kép vào ổ đĩa.
* Không nên vào các trang web cung cấp các phần mềm crack, hack, các trang web đen, độc hại.
Mô tả kỹ thuật:
* Copy chính nó thành file %System%\kspoold.exe
* Tạo service có tên là kspooldaemon
* Ghi các key sau:
HKLM\...\ControlSet001\Services\kspooldaemon\Type
HKLM\...\ControlSet001\Services\kspooldaemon\Start
HKLM\...\ControlSet001\Services\kspooldaemon\ErrorControl
HKLM\...\ControlSet001\Services\kspooldaemon\ImagePath
HKLM\...\ControlSet001\Services\kspooldaemon\DisplayName
HKLM\...\ControlSet001\Services\kspooldaemon\ObjectName
HKLM\...\ControlSet001\Services\kspooldaemon\Security\Security
HKLM\...\ControlSet001\Enum\Root\LEGACY_KSPOOLDAEMON\NextInstance
HKLM\...\ControlSet001\Enum\Root\...\Service
HKLM\...\ControlSet001\Enum\Root\...\Legacy
HKLM\...\ControlSet001\Enum\Root\...\ConfigFlags
HKLM\...\ControlSet001\Enum\Root\...\Class
HKLM\...\ControlSet001\Enum\Root\...\ClassGUID
HKLM\...\ControlSet001\Enum\Root\...\DeviceDesc
HKLM\...\ControlSet001\Enum\Root\...\Control\*NewlyCreated*
HKLM\...\ControlSet001\Enum\Root\...\Control\ActiveService
* Tìm và lây vào các file .doc, .xls, ... trong toàn bộ máy
* Tìm các ổ đĩa mềm, ổ đĩa USB và lây file virus vào các file .doc, .xls, ... trong các ổ đĩa ấy
Chuyên viên phân tích: Tạ Quang Trung
Cái thứ này từng xuất hiện trong forum. Nếu nó đơn giản như vậy về biểu hiện. Sẽ có vô số người khóc bù lu bù loa khi dính phải. Trình diệt nào cũng xóa sạch các file .exe có chưa thông tin .doc. và tương tự.
BKAV phải có lương tâm nghề nghiệp chứ. Con này đâu có vui tính như mấy ổng phân tích vậy. |
|
| 3 giai đoạn của con... người, ban đầu dek biết gì thì phải thăm dò, sau đó biết rồi thì phải thân thiết, sau cùng khi quá thân thiết rồi thì phải tình thương mến thương. Nhưng mà không thương được thì ... |
|
 |
|
| [Question] Một ví dụ về phân tích của BKAV. |
07/07/2007 00:57:36 (+0700) | #2 | 69355 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
HKLM\...\ControlSet001\Services\kspooldaemon\Type
HKLM\...\ControlSet001\Services\kspooldaemon\Start
HKLM\...\ControlSet001\Services\kspooldaemon\ErrorControl
HKLM\...\ControlSet001\Services\kspooldaemon\ImagePath
HKLM\...\ControlSet001\Services\kspooldaemon\DisplayName
HKLM\...\ControlSet001\Services\kspooldaemon\ObjectName
HKLM\...\ControlSet001\Services\kspooldaemon\Security\Security
HKLM\...\ControlSet001\Enum\Root\LEGACY_KSPOOLDAEMON\NextInstance
HKLM\...\ControlSet001\Enum\Root\...\Service
HKLM\...\ControlSet001\Enum\Root\...\Legacy
HKLM\...\ControlSet001\Enum\Root\...\ConfigFlags
HKLM\...\ControlSet001\Enum\Root\...\Class
HKLM\...\ControlSet001\Enum\Root\...\ClassGUID
HKLM\...\ControlSet001\Enum\Root\...\DeviceDesc
HKLM\...\ControlSet001\Enum\Root\...\Control\*NewlyCreated*
HKLM\...\ControlSet001\Enum\Root\...\Control\ActiveService
Lại snap OS nữa, thằng coder virus nào điên mà đi ghi vào các registry này. Cái này do OS làm khi một service được đăng ký (code, manual).
Con này tui phân tích rồi, thấy chẵng có quái gì, delete luôn rồi.
|
|
|
|
|
| [Question] Re: Một ví dụ về phân tích của BKAV. |
07/07/2007 01:02:25 (+0700) | #3 | 69357 |
|
tmd
Member
|
|
0 |
|
|
Joined: 28/06/2006 03:39:48
Messages: 2951
Offline
|
|
| Chủ yếu BKAV không đưa ra các thiệt hại có thể khi gặp loại này. File .doc bị mã miết thành một file .exe. Gặp trình diệt là bị delete ngay. Mất luôn .doc. BKAV không đưa ra một ý kiến gì về chuyện delete. Một máy có vài chục đến vài trăm, có khi là vài ngàn cái file .doc. Người dùng có khả năng điên. |
|
| 3 giai đoạn của con... người, ban đầu dek biết gì thì phải thăm dò, sau đó biết rồi thì phải thân thiết, sau cùng khi quá thân thiết rồi thì phải tình thương mến thương. Nhưng mà không thương được thì ... |
|
|
|
| [Question] Một ví dụ về phân tích của BKAV. |
07/07/2007 01:05:34 (+0700) | #4 | 69360 |
TQN
Elite Member
|
|
0 |
|
|
Joined: 29/06/2006 22:28:01
Messages: 888
Location: Biết làm chi ?
Offline
|
|
| Chắc là lười, hoặc ... Tui nhớ từ file .exe sang file .doc cũng đơn giản thôi. Hồi đó tính viết 1 tool console nho nhỏ để recover nhưng không thấy ai bị dính nhiều nên thôi. |
|
|
| [Question] Một ví dụ về phân tích của BKAV. |
07/07/2007 01:16:03 (+0700) | #5 | 69363 |
danvac
Member
|
|
0 |
|
|
Joined: 15/03/2007 18:53:59
Messages: 71
Offline
|
|
| phân tích kiểu này em cũng phân tích được sao mà đơn giản thế nhỉ còn nhiều cái để nói mà |
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận virus, trojan, spyware, worm...
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[WWW]](/hvaonline/templates/viet/images/icon_www.gif "[www]"){kind=icon}
![[Yahoo!]](/hvaonline/templates/viet/images/icon_yim.gif "[YIM]"){kind=icon}
![[MSN]](/hvaonline/templates/viet/images/icon_msnm.gif "[MSN]"){kind=icon}
. Đáng lẽ phải là CurrentControlSet mới đúng vì chưa chắc lúc nào cũng là ControlSet001![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")