瑞星卡卡安全论坛技术交流区反病毒/反流氓软件论坛 【引狼入室】关于“6间限制的软件永不过期-绿色软件.exe”

123   1  /  3  页   跳转页

【引狼入室】关于“6间限制的软件永不过期-绿色软件.exe”

收藏
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:22 | 只看楼主 短消息 资料
字号： 小 中 大 1楼

【引狼入室】关于“6间限制的软件永不过期-绿色软件.exe”



有网友怀疑这个软件中有木马，但也有人认为是杀软误报。如果你去问这个软件的作者，他多半会告诉你：对于这类破解工具，杀软大多报木马。
这个“绿色软件”中究竟有没有木马？
是骡子、是马——拉出来遛遛！
1、运行这个所谓的破解工具，目标是破除“影子系统”的30天试用期限。
运行后，卡巴斯基即刻报毒（图1）。

附件附件:

下载次数:367
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:22:24
描述:
预览信息:EXIF信息



最后编辑2006-09-24 00:08:50
分享到：
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:22 | 只看楼主 短消息 资料
字号： 小 中 大 2楼

2、不让卡巴斯基杀它。接着运行这个ShadowsSetting(AT).exe。运行后，释放一个“幽灵”程序——00050612$game.exe。
之所以称之为“幽灵”，是因为它运行后即刻自动删除，但我想办法截住了它。
00050612$game.exe试图进行磁盘底层存取操作（图2）。我允许它操作一次。

附件附件:

下载次数:339
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:22:57
描述:
预览信息:EXIF信息
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:23 | 只看楼主 短消息 资料
字号： 小 中 大 3楼

3、接下来，所谓的“ShadowsSetting.exe”开始运行，但对话框已经变的面目丑陋！且要求访问网络（图3）！

附件附件:

下载次数:361
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:23:24
描述:
预览信息:EXIF信息
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:23 | 只看楼主 短消息 资料
字号： 小 中 大 4楼

4、再看看“破解结果”。事实证明：所谓“破解”——完全是骗人的鬼话（图4）！

附件附件:

下载次数:361
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:23:51
描述:
预览信息:EXIF信息
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:24 | 只看楼主 短消息 资料
字号： 小 中 大 5楼

5、再用瑞星扫一下这个ShadowsSetting(AT).exe，同样也报毒（图5）。

至此，这个所谓“绿色软件”是骡子、是马——不言自明。

附件附件:

下载次数:339
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:24:20
描述:
预览信息:EXIF信息
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:24 | 只看楼主 短消息 资料
字号： 小 中 大 6楼

附：

00037919$game.exe运行后改动的注册表内容：

1、HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\BagMRU\0\1
"MRUListEx"=hex:01,00,00,00,03,00,00,00,00,00,00,00,0e,00,00,00,0d,00,00,00,07,\
  00,00,00,0c,00,00,00,0b,00,00,00,0a,00,00,00,05,00,00,00,02,00,\
  00,00,09,00,00,00,06,00,00,00,08,00,00,00,04,00,00,00,ff,ff,ff,\
  ff
"NodeSlot"=dword:00000006
2、HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\BagMRU
"MRUListEx"=hex:00,00,00,00,01,00,00,00,02,00,00,00,03,00,00,00,04,00,00,00,06,\
  00,00,00,07,00,00,00,05,00,00,00,ff,ff,ff,ff
"NodeSlots"=hex:02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,\
  02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02,02
3、HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags\6\Shell
"FolderType"="Documents"
4、HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags\42\Shell
"FolderType"="Documents"
5、HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\Bags\97\Shell
"FolderType"="Documents"

6、HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
"SavedLegacySettings"=hex:3c,00,00,00,d3,00,00,00,0b,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,05,00,00,00,00,00,00,00,10,16,d1,d8,3e,dd,c6,01,01,00,\
  00,00,c0,a8,01,03,00,00,00,00,00,00,00,00

7、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4080710900063D11C8EF10054038389C\Usage
"HandWritingFiles"=dword:35370163
8、HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
"Local AppData"="C:\\Documents and Settings\\baohelin\\Local Settings\\Application Data"
gototop
 
无毒有藕
头像
初生襁褓狮
  • 帖子:32
  • 注册: 2006-08-26
  • 来自:
发表于： 2006-09-23 15:27 | 短消息 资料
字号： 小 中 大 7楼

真正的高手.
gototop
 
艾玛
头像
大版主
  • 帖子:18894
  • 注册: 2004-01-01
  • 来自:
卡卡名人堂论坛9周年纪念
发表于： 2006-09-23 15:31 | 短消息 资料
字号： 小 中 大 8楼

老猫叔叔，小玛要一份了killvir#gmail.com

换#啊
gototop
 
刀刀笨贼
头像
初生襁褓狮
  • 帖子:289
  • 注册: 2006-06-16
  • 来自:
发表于： 2006-09-23 15:35 | 短消息 资料
字号： 小 中 大 9楼

引用:
【艾玛的贴子】老猫叔叔，小玛要一份了killvir#gmail.com

换#啊
………………

玛玛,偶的工具全忘记带过来了，要重新找呃
……
gototop
 
baohe
头像
大版主
  • 帖子:72578
  • 注册: 2003-04-10
  • 来自:
年度优秀版主奖端午辟邪香囊卡卡名人堂就爱不长大论坛9周年纪念09欢乐圣诞十周年年度风云人物2012我眼中的你们茶馆劳模瑞星金牌用户十一周年勋章
发表于： 2006-09-23 15:42 | 只看楼主 短消息 资料
字号： 小 中 大 10楼

这就是这个木马运行时的窗口（若不继续操作，不会中招。）

附件附件:

下载次数:361
文件类型:image/pjpeg
文件大小:
上传时间:2006-9-23 15:42:02
描述:
预览信息:EXIF信息
gototop
 
<<上一主题|下一主题>>
123   1  /  3  页   跳转页
页面顶部
Powered by Discuz!NT