hxxp://www.11bbb.net/ad.html
hxxp://www.11bbb.net/xx.html
hxxp://www.11bbb.net/1.js
hxxp://user1.33-23.net/ms06014.js
hxxp://user1.33-23.net/Thunder.html
hxxp://user1.33-23.net/GLWORLD.html
hxxp://user1.33-23.net/real.js
hxxp://user1.33-23.net/Real.html

11bbb.net
33-23.net
33-22.net
33205.net

原帖由 麦青儿 于 2008-5-8 17:10:00 发表
收走

原帖由 艾玛 于 2008-5-13 8:08:00 发表
作者更新比较勤

hxxp://www.111550.net
hxxp://1.see101.net
hxxp://user1.33-23.net
hxxp://user1.33-25.net
hxxp://www.57804.net.cn
hxxp://www.aixiaoshuo.net/dl6.htm?13
hxxp://www.ackii.net/dl6.htm?14
hxxp://www.aixiaoshuo.net/news.html
hxxp://user1.33-25.net/ms06014.js
hxxp://user1.33-25.net/Thunder.html
hxxp://user1.33-25.net/GLWORLD.html
hxxp://user1.33-25.net/real.js
hxxp://user1.33-25.net/Real.html
bak.css

hxxp://www.55-25.cn
hxxp://www.88-64.cn
hxxp://www.77-49.cn
hxxp://www.too121.cn/7.htm?eeee
hxxp://www.too121.cn/news.html
hxxp://www.mvoe.cn/all/aa.js
hxxp://www.mvoe.cn/all/aa.htm?aa
hxxp://www.mvoe.cn/all/new.htm
hxxp://www.mvoe.cn/all/a014.js
hxxp://www.mvoe.cn/all/arl.js
hxxp://www.mvoe.cn/all/abf.js
hxxp://www.mvoe.cn/all/alz.htm
hxxp://www.mvoe.cn/all/anrl.htm
hxxp://w.117b.cn/net/are.exe
hxxp://w.338t.cn/net/are.exe

原帖由 轩辕小聪 于 2008-5-16 19:22:00 发表
……
更新得比较夸张。
刚在霏凡看到其中一个，说一点东西：

释放的驱动其中一个动作：
当驱动的Device收到病毒主体文件的DeviceIoControl调用，IOCTL为0x222000时触发：

1. 读取硬盘中的atapi.sys
在其INIT段的代码中，利用特征码搜索
定位它的DrviceEntry中，填充DriverObject的MajorFunction的处理例程的