| [Question] virus tự đổi tên |
31/01/2010 22:13:09 (+0700) | #1 | 204300 |
narita11188
Member
![[Minus]](/hvaonline/templates/viet/images/minus.gif "[Minus]") |
0 |
![[Plus]](/hvaonline/templates/viet/images/plus.gif "[Plus]")
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
Bạn nào tốt bụng xem giúp mình con này. NÓ ghê gớm quá. Tự đổi tên, thành ra chả biết search để kil như thế nào
Code:
diệt dùm với . hu hu |
|
|
 |
|
| [Question] virus tự đổi tên |
01/02/2010 08:35:30 (+0700) | #2 | 204311 |
thinh_monova
Member
|
|
0 |
|
|
Joined: 29/12/2009 18:59:34
Messages: 6
Offline
|
|
đây là con trojan , viết bằng visual c++ 6.0 , pack bằng upx , nguồn gốc từ nước ngoài ... tại thấy trong code ghi toàn tiếng nước ngoài 
các hám sử dụng :
00405000 RegOpenKeyExA ADVAPI32
00405004 RegCloseKey ADVAPI32
00405008 RegOpenKeyA ADVAPI32
0040500C RegSetValueExA ADVAPI32
00405014 GetTimeZoneInformation KERNEL32
00405018 GetLocalTime KERNEL32
0040501C CloseHandle KERNEL32
00405020 CreateThread KERNEL32
00405024 GlobalFree KERNEL32
00405028 DeleteFileA KERNEL32
0040502C Sleep KERNEL32
00405030 CreateProcessA KERNEL32
00405034 ReadFile KERNEL32
00405038 SetFilePointer KERNEL32
0040503C GlobalAlloc KERNEL32
00405040 lstrlen KERNEL32
00405044 CreateFileA KERNEL32
00405048 lstrcpyn KERNEL32
0040504C GetPrivateProfileStringA KERNEL32
00405050 GetModuleFileNameA KERNEL32
00405054 ReleaseMutex KERNEL32
00405058 GetLastError KERNEL32
0040505C CreateMutexA KERNEL32
00405060 SetErrorMode KERNEL32
00405064 GetModuleHandleA KERNEL32
00405068 GetStartupInfoA KERNEL32
0040506C ExitThread KERNEL32
00405070 lstrcpy KERNEL32
00405074 lstrcat KERNEL32
00405078 WriteFile KERNEL32
0040507C GetTickCount KERNEL32
00405084 __getmainargs msvcrt
00405088 memset msvcrt
0040508C memmove msvcrt
00405090 _controlfp msvcrt
00405094 _except_handler3 msvcrt
00405098 __set_app_type msvcrt
0040509C __p__fmode msvcrt
004050A0 atoi msvcrt
004050A4 __p__commode msvcrt
004050A8 _adjust_fdiv msvcrt
004050AC __setusermatherr msvcrt
004050B0 _initterm msvcrt
004050B4 memcpy msvcrt
004050B8 _acmdln msvcrt
004050BC exit msvcrt
004050C0 _XcptFilter msvcrt
004050C4 _exit msvcrt
004050C8 strlen msvcrt
004050CC memcmp msvcrt
004050D4 CharUpperA USER32
004050D8 wsprintfA USER32
004050DC CharLowerA USER32
004050E4 InternetOpenA WININET
004050E8 InternetCloseHandle WININET
004050EC InternetOpenUrlA WININET
004050F0 InternetReadFile WININET
004050F8 WSAStartup WS2_32
004050FC getpeername WS2_32
00405100 inet_ntoa WS2_32
00405104 __WSAFDIsSet WS2_32
00405108 htons WS2_32
0040510C getsockname WS2_32
00405110 recvfrom WS2_32
00405114 sendto WS2_32
00405118 gethostname WS2_32
0040511C bind WS2_32
00405120 listen WS2_32
00405124 accept WS2_32
00405128 select WS2_32
0040512C recv WS2_32
00405134 socket WS2_32
00405138 connect WS2_32
0040513C closesocket WS2_32
00405140 inet_addr WS2_32
00405144 gethostbyname WS2_32
00405148 send WS2_32
nhìn code , mình đoán nó ghi vào registry để autorun , download từ mang về để update dữ liệu
dùng socket để gửi dữ liệu đi .
cấu hình lại trình duyệt tại Software\Microsoft\Windows\CurrentVersion\Internet Settings
trình độ của mình phân tích chỉ đến đây thôi .....
|
|
|
|
|
| [Question] virus tự đổi tên |
01/02/2010 16:43:57 (+0700) | #3 | 204343 |
narita11188
Member
|
|
0 |
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
thế bi giờ diệt nó như thế nào ạ  ( . MỆt mỏi quá. 2 năm nay mới dính 1 con này . Máy thỉnh thoảng giật cho 1 phát . Ức chế T_T . Nghe nhạc cũng không yên . THỉnh thoảng lag lag (
Bạn nào giúp mình với ( ( Nó phá cả file anti virus. Cuối tuần này , nếu không có ai giúp được . Mình có lẽ phải mang ổ đến nhà bạn nhờ quét hộ rồi cài lại win ....
Help me pls....
Đúng như bạn thinh_monova đã phân tích
À , nó có hẳn 1 chuỗi kí tự . để random tên. Nên đến giờ mình cũng chẳng biết tên thật em nó là gì hu hu hu ....
toàn nick name T_T
Giúp mình đi mà . .... .... plz plz plz ....
|
|
|
|
|
| [Question] virus tự đổi tên |
02/02/2010 07:16:17 (+0700) | #4 | 204381 |
![[Avatar]](/hvaonline/images/avatar/2076a4072c153afd44d66853200675bb.jpg "[Avatar]")
|
VTN_89
Member
|
|
0 |
|
|
Joined: 25/09/2006 21:47:01
Messages: 76
Offline
|
|
| cho tôi xin link download con vr đi bạn, tôi thử diệt nó cho ! chúc bạn vui. |
|
|
|
|
| [Question] virus tự đổi tên |
02/02/2010 09:16:44 (+0700) | #5 | 204389 |
narita11188
Member
|
|
0 |
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
hì. Uh. Tiếc là virus máy mình giờ không còn nữa (
Cảm ơn bạn rất nhiều. Đã xác định nó là 1 con hỗn hợp Bao gồm 1 trojan và sality ..... Dùng avira free quét rồi , chưa yên tâm lắm. Chắc cho thêm em kas quét nữa  ) .
Bkav home phò quá , quét mãi chả ra cái j ^^ |
|
|
|
|
| [Question] virus tự đổi tên |
02/02/2010 09:19:38 (+0700) | #6 | 204390 |
narita11188
Member
|
|
0 |
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
Mình để link down virus ở trên cùng ý . Chả biết có down đc nữa không. Chẳng dám thử T_TCode:
http://www.mediafire.com/?sharekey=ec40ee9e0252272dd8f14848abf485dd5e6a4a80614d6205d9ecd7d091ba63d2
link con trojan gốc còn sót lại ,. CHịu không kill dc nó . chả hiểu đc T_T |
|
|
|
|
| [Question] virus tự đổi tên |
03/02/2010 07:41:23 (+0700) | #7 | 204447 |
|
VTN_89
Member
|
|
0 |
|
|
Joined: 25/09/2006 21:47:01
Messages: 76
Offline
|
|
Bạn cứ nghĩ đơn giản vấn đề rằng bạn là người tạo ra vr,... tất nhiên ý tôi là bạn có thể kiểm soát tốt nó không bị nó đánh bật.
- Để làm được điều đó quả thật không dễ dàng, tuy nhiên bạn có thể sống chung với vr không? bạn hãy là một con vr trước đã rồi hãy sống chung với nó. Nếu bạn suy luận tốt đôi khi bạn không cần diệt nó mà chỉ cần ở chung là thoải mái, không lo âu gì cả chỉ sợ bạn không can đảm thôi ^^hehehe. |
|
|
|
|
| [Question] virus tự đổi tên |
03/02/2010 13:29:36 (+0700) | #8 | 204465 |
hackerngheo
Member
|
|
0 |
|
|
Joined: 15/08/2009 19:47:29
Messages: 45
Offline
|
|
| tui thử rồi máy có cài đóng băng nó lm2 may chậm thiệt tui khỡi động lại rồi dùng avg quét diệt hết rồi, bạn thữ cài lại win rồi cài chương trìng diệt vỉut avg là ok |
|
|
|
|
| [Question] virus tự đổi tên |
04/02/2010 06:53:12 (+0700) | #9 | 204519 |
narita11188
Member
|
|
0 |
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
Vấn đề đặt ra là Avira vẫn còn báo Còn trojan trong máy . FIle tabletextservice.exe trong window NT . , Adobeupdater.exe,... NÓ cứ báo . Mình không rõ có phải trojan không.
Nhưng đoán là không phải .
Cảm ơn các bạn đã góp ý . .
Tái bút : Sống chung thì đơn giản thôi. Học cách chấp nhận. Lúc đầu thì hơi khó khăn nhưng chắc 1 thời gian sẽ quen . Mà quen ở chung với đống rác .....sẽ không thấy bẩn. LIệu đấy có phải 1 sự lựa chọn đúng ?
Câu hỏi đc dành cho bạn VNT_89 |
|
|
| [Question] virus tự đổi tên |
04/02/2010 06:54:29 (+0700) | #10 | 204520 |
narita11188
Member
|
|
0 |
|
|
Joined: 27/01/2010 12:27:39
Messages: 10
Offline
|
|
May cho bạn , là trên chỉ là 1 mẫu nhỏ của nó. COn trojan gốc có khả năng phá bung deepfreze
Cảm ơn bạn đã test hộ mình :X:X:X:X |
|
|
|
![[Rule]](/hvaonline/templates/viet/images/icon_mini_rule.gif "[Rule]"){kind=icon}
![[Home]](/hvaonline/templates/viet/images/icon_mini_groups.gif "[Home]"){kind=icon}
![[Portal]](/hvaonline/templates/viet/images/icon_mini_portal.gif "[Portal]"){kind=icon}
![[Members]](/hvaonline/templates/viet/images/icon_mini_members.gif "[Members]"){kind=icon}
![[Statistics]](/hvaonline/templates/viet/images/icon_mini_stats.gif "[Statistics]"){kind=icon}
![[Search]](/hvaonline/templates/viet/images/icon_mini_search.gif "[Search]"){kind=icon}
![[Reading Room]](/hvaonline/templates/viet/images/icon_mini_book.gif "[Reading Room]"){kind=icon}
![[Register]](/hvaonline/templates/viet/images/icon_mini_register.gif "[Register]"){kind=icon}
Register![[Login]](/hvaonline/templates/viet/images/icon_mini_login.gif "[Login]"){kind=icon}
Login [
Thảo luận virus, trojan, spyware, worm...
![[Profile]](/hvaonline/templates/viet/images/en_US/icon_profile.gif "[Profile]"){kind=icon}
![[PM]](/hvaonline/templates/viet/images/en_US/icon_pm.gif "[PM]"){kind=icon}
![[Up]](/hvaonline/templates/viet/images/en_US/icon_up.gif "[Up]"){kind=icon}
![[Print Copy]](/hvaonline/templates/viet/images/en_US/icon_print.gif "[Print Copy]"){kind=icon}
![[digg]](/hvaonline/templates/viet/images/digg.gif "[digg]")
![[delicious]](/hvaonline/templates/viet/images/delicious.gif "[delicious]")
![[google]](/hvaonline/templates/viet/images/google.gif "[google]")
![[yahoo]](/hvaonline/templates/viet/images/yahoo.gif "[yahoo]")
![[technorati]](/hvaonline/templates/viet/images/technorati.gif "[technorati]")
![[reddit]](/hvaonline/templates/viet/images/reddit.gif "[reddit]")
![[stumbleupon]](/hvaonline/templates/viet/images/stumbleupon.gif "[stumbleupon]")