打印

[原创]用WinHEX远程查杀顽固病毒

Helvin

团队决策人

Rank: 9 Rank: 9 Rank: 9

E.S.T顾问团首席顾问

帖子: 617
精华: 22
积分: 4944
阅读权限: 255
在线时间: 1706 小时
注册时间: 2005-1-7
最后登录: 2008-5-13

优秀管理奖运营支持奖核心建议奖

发短消息
加为好友
当前离线

楼主大中小发表于 2008-4-18 02:59 只看该作者

[原创]用WinHEX远程查杀顽固病毒

文章作者：Helvin [E.S.T 顾问团]
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

有个Win2003，跑的服务器不重要，打了补丁很久没重启，前几天蓝屏过，导出蓝屏dmp文件windbg分析，发现Ipnat.sys引起，因为还有其他事情要忙，当时没太在意。今天一看竟然成了肉鸡，疯狂想德国法国的一些80、442、25端口发送包，抓包分析，基本都是病毒体传播和点广告的
病毒本身一共5个文件 srosa.sys hldrrr.exe wintems.exe mdelk.exe 还有一个是放在了Du Meter的自启动下面

冰刃等一些都是“不是有效的win32程序”，杀毒软件更别说了。驱动隐藏驱动、程序、注册表，病毒体、驱动、注册表防删除保护，文件文件夹隐藏设置失效。。。。，因为是远程杀毒，安全模式啥的都不用考虑了。突然看到服务器桌面上装了WinHex，当时爆破一个小软件的时候用的，顺手打开硬盘，找到隐藏的病毒，直接对相应硬盘区域写0，重启。

残留文件删除，注册表清除一下，干净了

幸福，那就是……我饿了，看别人手里拿个肉包子，那他就比我幸福；我冷了，看别人穿了一件厚棉袄，他就比我幸福；我想上茅房，就一个坑，你蹲那了，你就比我幸福。

TOP

achillis

晶莹剔透§烈日灼然

Rank: 1

帖子: 53
精华: 0
积分: 190
阅读权限: 40
性别: 男
在线时间: 12 小时
注册时间: 2006-9-10
最后登录: 2008-4-18

发短消息
加为好友
当前离线

沙发大中小发表于 2008-4-18 09:29 只看该作者

WinHex确实强啊。
直接写硬盘，可以当铸比较BT的强删工具啊

学习中.......

TOP

dayang1718

晶莹剔透§烈日灼然

Rank: 1

帖子: 75
精华: 0
积分: 256
阅读权限: 40
性别: 男
来自: shandong
在线时间: 76 小时
注册时间: 2006-10-7
最后登录: 2008-5-13

发短消息
加为好友
当前在线

椅子大中小发表于 2008-4-18 11:47 只看该作者

顺手打开硬盘，找到隐藏的病毒，直接对相应硬盘区域写0，重启。

残留文件删除，注册表清除一下，干净了
LZ能否详细点，头一次见怎么牛比的文章！

love hack

TOP

菜的要死

晶莹剔透§烈日灼然

Rank: 1

帖子: 3
精华: 0
积分: 13
阅读权限: 40
在线时间: 2 小时
注册时间: 2008-2-27
最后登录: 2008-4-28

发短消息
加为好友
当前离线

板凳大中小发表于 2008-4-20 19:32 只看该作者

呵呵我经常用winhex查杀病毒，打开winhex选择硬盘－》相应分区－》选择相应的病毒文件（完全可以查看所有隐藏的病毒文件）－》可以利用字符串大概了解病毒文件的功能是否加壳等－》把病毒的16进制文件区域填充00保存退出。
这样有个好处就是，很多病毒会检测相应文件是否被删除，而不会检测文件是否被修改，其功能是否还完整（个别病毒例外哈曾经遇到过），达到了各个击破病毒的效果。

本帖最近评分记录