tạo autorun cho những cú dubble click thơ ngây :d
 

vậy có ai đưa ra một phương pháp wa mặt AV không 

Cách tốt nhất là nhấn Ctrl+E để mở Windows Explorer, rồi chọn ổ đĩa ở Panel bên trái... hehehe . Không thì để FastHelper đang chạy và double-click vào cái Flash Drive, cũng sẽ không bị gì
Còn một giải pháp nữa là sử dụng explorer khác thay cho Windows Explorer. 

@if exist "C:\Autorun.inf" ECHO C co Autorun
@if exist "D:\Autorun.inf" ECHO D co Autorun
@if exist "E:\Autorun.inf" ECHO E co Autorun
@if exist "F:\Autorun.inf" ECHO F co Autorun
@PAUSE

Thêm một chi tiết nữa là autorun có thể làm virus được kích hoạt ngay cả khi ta chọn dòng Open hoặc Explorer trên menu ấy.  

thật kô đấy thằng viết worm chắc là thiên tài rồi  

Với cái file Autorun.inf này thì dù click chuột phải vào ổ có nó cũng kô thấy gì khác thường Dù chọn dòng Open hãy Explore virus vẫn được kích hoạt

[autorun]
OPEN=VIUS.EXE
shell\open=Open
shell\open\Command=VIUS.EXE
shell\open\Default=1
shell\explore=Explore
shell\explore\Command=VIUS.EXE

Noi nhu vay. thi` ai cu moi lan nhiem virus la format sau do cai lai. Vay thi mo dien dan nay ra de chi troi. 

mình nghĩ format là dễ + nhanh + hiệu quả nhât 

Sau khi mình cài lại hề điều hành và cho nó nhiễm lại virus đó thì nó không còn tình trạng như vậy nữa. 

1 - Kiểm tra giao vận thong tin với bên ngoài : ở đây tôi chỉ đơn giản là dung 1 USB “sạch “ tức là không có dòng chữ AUTORUN màu đậm ở trên đầu nó . Cắm vào sau đó rút ra => cắm trở lại nếu thấy dòng chữ autorun màu đậm trên đầu USB => máy tính đã bị nhiễm worm  

2 - Kiểm tra các chương trình đăng ký khởi động cùng windows :
Ta nhấn Start/run => gõ mscofig => vào tab starup

Chương trình liệt kê các phần mềm đăng ký khởi động cùng windows dung dấu kiểm bỏ chọn các chương trình mà bạn nghi ngờ ở đây là 1. exe , shel. , Exe vbkey……
về vấn đề này bạn có thể tìm trên www.google.com.vn bài viết “10 cách tự động thực thi file “để hiểu rõ hơn về vấn đề này trong bài viết tôi chỉ nêu ra cách đơn giản mà trong bài viết trên không nêu ra thôi .  

7. Ở Registry có thể là
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"Something"="c:\directory\Trojan.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Something"="c:\directory\virus.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices]
"Something"="c:\directory\Trojan.exe"
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce]
"Something"="c:\directory\Virus.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Something"="c:\directory\Trojan.exe"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Something"="c:\directory\virus.exe"  

Cậu GS kia chỉ thích khích bác bà con thôi. Chuyện về malware dài hơi lắm. Không phải biết 1 chút là có thể phán người khác này nọ kia được. Nếu muốn, lên các diễn đàn, blog về malware của các hảng sản xuất trình phát hiện malware mà học hỏi, trao đổi. Ở đó họ chuyên nghiệp hơn. Muốn post linh tinh bậy bạ cũng không có được.
Điển hình là beeping computer, hijackthis được sử dụng ở đó. Muốn show off gì đó thì vào trỏng thử. Vài lần sẽ thấy.  

Còn virus hay gì đó lây lung tung, vào các forum của f-secure, spyware terminator(dạng trung bình), mcafee... các thứ. Lúc đó thấy kiến thức của cậu GS có phán được gì không.
Vài ý kiến. 

Lôi Art of Deception ra nói chuyện . Security in mind là thứ khó chịu. Như kiểu anh GS kia, Art of Deception là thứ xa xỉ.
Câu nói "ta thừa khả năng nhúp từng con ra nuốt sống " là câu nói có vấn đề nhất.  

Không nên tranh cải cách thức nào là tốt nhất, vì như vậy, bà con đã tự mình che mắt, che tai, không chấp nhận tấc cả các phương pháp phòng chống có hiệu quả.  

Security in mind, là thứ gì đó đòi hỏi thời gian, công sức, kinh nghiệm... mới có được.
Nên chấm dứt chủ đề này tại đây. Nên lắng nghe .  

Tranh cải càng nhiều, thường dẫn tới lộ sai sát và tự ái(vì mình sai sót)-> nói chuyện vớ vẫn tào lao. Lộ sai sót để sửa sai. Nhưng rất ít người sửa sai.
Nói vui vậy để bà con đừng tranh luận kiểu khích bác. Nên góp ý. Càng nhiều ý kiến càng tốt.  

Đừng tưởng mình là chuyên gia rồi ngủ quên trên cái ghế chuyên gia đó. Chẳng ai trong forum này là chuyên gia cả.  

Ghost Ship wrote:

Nếu có định down lại từ nguồn chắc chắn thì dung lượng bộ cài cũng đến cả mấy trăm MB :lol mà thằng bạn mình cũng đang sài ngon nghẻ máy nó có sao đâu sao mình lại phải lăn tăn nhỉ

 

Mình đã nói đi nói lại mà bạn ko hiểu ý mình. Xài atv thì tốt, nhưng nếu bạn rảnh ( ) và muốn biết thêm nhiều thứ thì ko xài cũng ok.

Có nhữnng quy tắc về security tối thiểu mà bạn nên tuân theo. Làm theo thì sẽ hạn chế khả năng bị trouble rất lớn.

Bạn sử dụng chương trình tùm lum như vậy, ko có ý thức về an toàn thì bạn có cài 100 cái atv cũng như ko.

Đơn giản là vì cái chương trình phá hoại đó do 1 thằng bạn của bạn làm ra. và bạn tin mà xài nó.

Bạn nên đọc "The art of deception"

Security in mind.
 

Ặc ặc. Tui bó tay rùi.

Ko lẽ bạn dám xài 1 cái chương trình từ 1 nguồn ko dc trust?

MD5 hash đâu?

Ko lẽ bạn ko có khả năng tìm ra nguồn gốc của cái software đó từ internet và download về từ site của author?

Nó cấy vào os, ko lẽ bạn ko có cách check os của bạn bị thay đổi sao. 

Em ko thấy cái process nào lạ hết, ko thấy file lạ trong máy, ko có connection lạ,ko co disk activity bất thường....->Ko nghĩ là mình có nuôi con vì-rút nào.  

vậy sau khi "kê" bằng hijack rồi fix có được không bác ...em thấy cái evtran 3.0 của ác npln share hay hay load về ..tường lửa và Kav đều cảnh báo....fix xong liệu còn hậu họa không bác..(em vẫn thi thoảng chạy cái chương trình này)  

em định viết một con bằng C :
tạo autorun.ini tại folder chứa nó
del *.pdf,*.doc....
change date để vô hiệu hóa trình anti virus nếu user reset
tự nhân lên sau mỗi lần kick chuột
vd:
nếu folder đầu tiên nó tìm đc là osama thì nó sẽ tạo ra một loạt
folder 0sama"x "(x= a-->z)
ý tưởng này thế nào
 

to: Ghost Ship bác cố copy cho bác hoàng còn cập nhật chứ lỡ anh em cũng dính con đó thì sao -))  

Em ko thấy cái process nào lạ hết, ko thấy file lạ trong máy, ko có connection lạ,ko co disk activity bất thường....->Ko nghĩ là mình có nuôi con vì-rút nào.  

meomeo_bebong @ : Diệt tốt nhất là Boot từ Dos và dùng các chương trình anti chạy trong dos (đã update) chắc ăn nhất !
Xin đọc lại cho rõ nhé ) 

Hts @: Cao nhân tắc hữu cao nhân trị Nếu phòng bị chỉ khoảng 70% an toàn 30% còn lại vẫn chắc chắn dính rồi cài lại máy ) 

1. Khi tạo một file có tên là boot.exe hay autorun.inf hoặc folder boot or autorun thì chúng nó biết mất tiêu, không thể nhìn thấy được.  

2. Khi tạo file autorun.inf không cần biết nội dung là gì thì tất các file và folder đều bị biến đâu mất hết, dùng show hidden file và show system file đều không nhìn thấy tuy nhiên vẫn truy xuất bằng bằng cách gõ tên tập tin được.  

今天接到了一个病毒 样本Backdoor.RWX.2005.hy 测试了一下 发现他是个比较怪异的病毒
下面我们就来看看他如何怪异
病毒主要特征：
1.结束一些杀毒软件和安全工具进程
2.IFEO映像劫持 cmd regedit msconfig等文件
3.通过硬盘双击启动（怪就怪在这点，而且作者很聪明）
病毒分析：

File: dllhost.exe
Size: 762368 bytes
File Version: 3.0.2.3
MD5: 1D8B98F417340D9B399A5F9F9944B2E3
SHA1: 19E4F629D735AC04504510B3A2D6124E654BF883
CRC32: 0ACAB18C
运行后

生成如下文件
C:\WINDOWS\dllhost.exe
C:\WINDOWS\setuprs1.PIF

创建服务COMSystemApp
服务相关键值

HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\Security\Security: 01 00 14 80 90 00 00 00 9C 00 00

00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00

00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18

00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00 00

00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00

00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\Type: 0x00000110
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\Start: 0x00000002
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\ErrorControl: 0x00000000
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\ImagePath: "C:\WINDOWS\dllhost.exe -netsvcs"
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\DisplayName: "COM+ System Applications"
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\ObjectName: "LocalSystem"
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\Description: "管理基于组件对象模型 (COM+) 的组件的配

置和跟踪。如果停止该服务，则大多数基于 COM+ 的组件将不能正常工作。如果禁用该服务，则任何明确依赖它的

服务都将无法启动"
HKLM\SYSTEM\ControlSet001\Services\COMSystemApp\FailureActions: 00 00 00 00 00 00 00 00 00 00 00 00

03 00 00 00 53 00 65 00 01 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00 01 00 00 00 00 00 00 00

结束以下进程
autoruns
autoruns.exe
procexp.exe
WoptiProcess.exe
KavPFW.EXE
KPFW32.EXE
RfwMain.EXE
RRfwMain.EXE
PFW.exe
ewido.exe
SysSafe.exe
FireWall.exe
kpf4gui.exe
McAfeeFire.exe
FireTray.exe
jpf.exe
ssgui.exe
outpost.exe
360tray.exe
FYFireWall.exe
runiep.exe
Ras.exe
cpf.exe
KAVPF.exe
kav.exe
avp.exe
avpcc.exe
mmc.exe
KBVXP.kxp
KvMonXP.kxp
KVCenter.kxp
TrojDie.kxp

监控如下窗口 如果发现他们则将其关闭

天网防火墙个人版
Tapplication
天网防火墙企业版
噬菌体
TfLockDownMain
ZoneAlarm
ZAFrameWnd
ZoneAlarm Pro

IFEO映像劫持cmd.exe msconfig.exe regedit.exe regedt32.exe 到C:\WINDOWS\setuprs1.PIF

连接218.16.138.64:83

下面就是比较“聪明”比较怪异的地方了

在第一次运行样本的同时 在每个分区根目录下面 生成autorun.inf.tmp的文件 和一个歧义文件名runauto..\的文

件夹
这个文件夹是通过歧义文件名创立的 所以通过一般手段是删不掉的
这个文件夹有什么用呢？

而且奇怪的是 怎么生成的是autorun.inf.tmp呢 这样怎么达到双击启动病毒的目的呢
别急 病毒创建了这么一个注册表键值
注册表群组： System Critical
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Control\Session Manager
注册表值： PendingFileRenameOperations
新的值:
类型: REG_MULTI_SZ
值：
\??\C:\autorun.inf.tmp
\??\C:\autorun.inf
也就是说你重启以后 会自动 把autorun.inf.tmp重命名为autorun.inf

再看那个autorun.inf的内容吧
[AutoRun]
open=RUNAUT~1\autorun.pif
shell\1=打开(&O)
shell\1\Command=RUNAUT~1\autorun.pif
shell\2\=浏览(&B)
shell\2\Command=RUNAUT~1\autorun.pif
shellexecute=RUNAUT~1\autorun.pif

这回明白了吧 那个runauto..\的文件夹中 有一个autorun.pif的文件
双击启动的就是他
autorun.pif当然就是 病毒文件咯
原来runauto..\是为了保护 病毒文件的 这回杀毒软件也没辙了吧。。
而且为隐人耳目 这个东西使得右键菜单中的出现了两个打开 和一个浏览
点击 第一个打开 和浏览 都会激活病毒（见图）

而且那几个被映像劫持的文件 也很隐人耳目
当我们在 运行中输入 cmd回车的时候
首先会劫持到C:\WINDOWS\setuprs1.PIF 运行之 然后 由C:\WINDOWS\setuprs1.PIF马上复制一个cmd.exe出来并把

他重命名为 cmd.exe.exe 最后启动他
如果我们打开的是注册表 那么同样打开的也是 regedit.exe.exe而之中一切发生的变化我们会浑然不知
说说解决办法吧
还是安全模式吧
打开sreng （还好 还可以用）

“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：

[COM+ System Applications / COMSystemApp][Running/Auto Start]
<C:\WINDOWS\dllhost.exe -netsvcs><>


双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件

（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定

右键 点击 最下面的 “打开” 打开C盘
删除C:\WINDOWS\dllhost.exe
C:\WINDOWS\setuprs1.PIF


利用autoruns.exe 恢复被映像劫持的文件（autoruns也要重命名，否则可能会被结束）

接下来 我们来对付那个歧义文件名的文件夹

开始 运行 输入cmd(此时 已经恢复了IFEO,所以可以用了）
依次输入 rd /s c:\runauto..\
rd /s d:\runauto..\
del C:\autorun.inf
del d:\autorun.inf 

) ) . Chuyên gia bó chi kìa trời. Trong môi trường DOS thì ai cũng như ai . Ra đó mà copy nó sang chổ khác, rename, zip thỏa mái. ) . Còn các action cấm đoán, do nó đã chạy lên rồi. Chết . 

osamabinladel wrote:

chỉ là ý tưởng thôi
vì em muốn vượt mặt AV
lần này với khả năng chiếm dụng ngắt do phần cứng tạo ra : nó sẽ chạy khi có ai đó nhấn M
các pác tấng công ý tưởng này wa' em xin thôi vậy nhưng nó sẽ không vào wen lãng đâu 

Đầu tiên, bạn thử trả lời những câu hỏi sau đây xem:
1. Làm thế nào để vượt mặt AV ? AV chặn virus ở tầng nào ?
2. Ngắt phần cứng là ngắt gì ?

Bạn trả lời được 2 câu đó đi đã rồi mới tính đến chuyện tiếp theo  

Anh Kinyo nói hoàn toàn đúng, nhưng chúng ta đâu có biết file.exe nằm trong ổ setup của em file nao chứa virut file nào ko chứa virut . Bài viết trước có anh viết là cách đóng băng . Vậy thì đóng băng bằng cách nào đây? Mục đích chính của em là phương pháp diệt kiếu này thế nào để sau này em còn biết làm ."Đóng băng "??? 

Hôm nay em sẽ ráng tìm cách, cách ly nó ra và bắt gói, xem nó gửi ra cái gì, rùi chúng ta bàn tiếp các bạn há.....