А как ты её вообще обнаружил? По траффу сетевому (куда ломилась), или по отладочному файлу?03.11.04 13:19 Число просмотров: 2059 Автор: HandleX <Александр М.> Статус: The Elderman
создает как я понял отладочный файл c:\!apihook.txt. После его прочтения стало не по себе:
кто-нить подобную хрень лечил?
--------------------------------------------------------------------------------
Process32Next - kernel32.dll , hndl: 7C4E0000
physmem: 144
SCANNING pmem (0-7F8D000), mapped on virt, for pagetables
FOUND PAGETABLE! 77F2400 patching...
pagetable patched!
NO MORE PAGETABLES!
--------------------------------------------------------------------------------
NtQuerySystemInformation - ntdll.dll , hndl: 77F80000
physmem: 144
SCANNING pmem (0-7F8D000), mapped on virt, for pagetables
FOUND PAGETABLE! 7670400 patching...
pagetable patched!
NO MORE PAGETABLES!
--------------------------------------------------------------------------------
GetTcpTableFromStack - iphlpapi.dll , hndl: 77340000
physmem: 144
SCANNING pmem (0-7F8D000), mapped on virt, for pagetables
FOUND PAGETABLE! 48A0C00 patching...
pagetable patched!
NO MORE PAGETABLES!
--------------------------------------------------------------------------------
SnmpExtensionQuery - inetmib1.dll , hndl: 6E2D0000
physmem: 144
SCANNING pmem (0-7F8D000), mapped on virt, for pagetables
FOUND PAGETABLE! E62800 patching...
pagetable patched!
в подробностях загрузки не разбирался. Просто, обнаруживал *32.exe & *32.dll, возникшие в день, когда я ничего сам не инмсталлил и прибивал. Причем, удалить их можно было только загрузившись с дискеты.
А залазит оно, похоже, через переполнение буфера при загрузке *.jpg.
но весь прикол в том03.11.04 11:16 Автор: ZaDNiCa <indeed ZaDNiCa> Статус: Elderman
что файлов этих *32.exe & *32.dll на диске _не видно_, потому как загрузившись, он инсталирует stealth код, который перехватывает вызов функции просмотра файлов в каталоге и свои имена оттуда выкусывает
в итоге при просмотре диска файлов этих нет... а если пытаться удалить/переименовать файл точно введя его имя выдает что операция неразрешена
кроме того не удается загрузить ни один монитор (filemon, regmon, process explorer) с выдачей ошибки что нет прав для загрузки (хотя делается все под админом и права есть)
> в подробностях загрузки не разбирался. Просто, обнаруживал > *32.exe & *32.dll, возникшие в день, когда я ничего сам не > инмсталлил и прибивал. Причем, удалить их можно было только > загрузившись с дискеты. > > А залазит оно, похоже, через переполнение буфера при > загрузке *.jpg.
А как ты её вообще обнаружил? По траффу сетевому (куда ломилась), или по отладочному файлу?03.11.04 13:19 Автор: HandleX <Александр М.> Статус: The Elderman
увидел что загрузка процессора постоянно 100%, и что в памяти два процесса sevices.exe и SERVICES.EXE
второй и жрал все ресурсы. При попытке убить его выдавалось из диспетчера задач "странное" предупреждение что процесс критический и убить его нельзя. В то время как pskill (из пакета pstools) прибивал процесс по пиду вполне нормально. После этого загрузка системы становилась нормальной. И только потом, начав разбираться, увидел отладочные файлы и понял что дело точно нечисто
Всё верно... Виндовознная картина процессов уже как родная стала, сразу видны косяки... ;-) Только вроде вирь хитрый такой, мог бы и скрыть себя получше Ж)03.11.04 16:33 Автор: HandleX <Александр М.> Статус: The Elderman
в отладочном файле я видел что устанавливается стелс код и для NtQuerySystemInformation
но что-то не срослось наверное, да и отладочный файл не нужно было светить, или по крайней мере заныкать куда-нить
Может, это бету обкатывают? ;)03.11.04 22:06 Автор: push <Dmitry> Статус: Member
Ага, сделала подкоп в "песочнице", придушила брандмауэра и, развинтив напоследок роутер, ушла по туннелям. Шучу, конечно :)04.11.04 00:35 Автор: push <Dmitry> Статус: Member
А почему не модифицировать ntldr.exe так, чтобы он при рестарте модифицировал ядро, прописывая код троя прямо в ДЛЛ-ки ядра или сокета? На ходу, понятное дело, их модифицировать нельзя, т.к. они уже загружены. А ntldr.exe, по-моему можно. А, по скольку ntldr.exe запускается до загрузки системы, но файлы уже видит, то может модифицировать ядро как угодно.
Ой, зачем я это сказал?!
ntldr модифицировать нельзя потому как его исходников нету04.11.04 11:22 Автор: amirul <Serge> Статус: The Elderman
> А почему не модифицировать ntldr.exe так, чтобы он при > рестарте модифицировал ядро, прописывая код троя прямо в Гораздо легче написать драйвер, заставить его загружаться сразу после ntoskrnl и hal и уже там патчить.
> ДЛЛ-ки ядра или сокета? На ходу, понятное дело, их > модифицировать нельзя, т.к. они уже загружены. Ну и что, что загружены? Патчить память можно и нужно.
> А ntldr.exe, > по-моему можно. А, по скольку ntldr.exe запускается до > загрузки системы, но файлы уже видит, то может > модифицировать ядро как угодно. Вообще модифицировать бинарники прямо на диске - моветон. Лучше дождаться их загрузки и модифицировать в памяти.
> Ой, зачем я это сказал?! :-)
Да и вдруг кто-нибудь SFC запустит - надо ещё тогда и от этого прятать:)05.11.04 03:26 Автор: AlexD <Alexander> Статус: Member
Выткнуть винт, поставить на другую машину, и просканировать его на предмет вирусов...
Должен же он где-то сидеть на винте?
Или загрузить с флопов Kaspersky Anti-Virus Rescue Disk со свежими базами, и им посканить..
А отладочный файл злобный, это да...
Можно попробовать process explorer'ом (от sysinternals) посмотреть - он вроде инфу через драйвер получает30.10.04 04:40 Автор: AlexD <Alexander> Статус: Member
Если он все делает через драйвер, то кранты твоему трояну:). А вот если только некоторую часть, то....
Короче попробуй - всеравно аналогичных ему прог нету(я не знаю таких :)), так что если не поможет он, то только снимать винт:)
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
