TDSS TDL4越发嚣张了 - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛 TDSS TDL4越发嚣张了

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十七次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

1

1 / 1 页

跳转页

[原创] TDSS TDL4越发嚣张了

本主题由大版主 baohe 于 2011-3-2 20:45:31 执行主题置顶/取消操作

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-02-25 15:25 \| 显示全部短消息资料字号：小中大 1楼 TDSS TDL4越发嚣张了这个改写MBR的后门，国外很流行。此前国内并不多见。昨天在卡饭见到一网友说：下载了一个啥注册机，毫不犹豫的就运行了。结果，就着着实实的中招了。下载其提供的样本，开着RIS2011（最新病毒库，默认防护设置）运行此样本。结果RIS2011 无任何反应！以前见到的那些TDSS TDL4 变种RIS2011 的主动防御还都能挡住。但这次，RIS2011 彻底漏了。 1、中毒后，用XueTr在中毒环境中看到的异常： 1.PNG (348.74 K) 2011-2-25 15:24:43 2、中毒后，在WINPE环境看到的中毒症状： 0-MBR.png (1072.07 K) 2011-2-25 15:24:43 病毒在硬盘尾部260多个扇区内写入的病毒代码： 2.png (451.47 K) 2011-2-25 15:24:43 3、前面已经说过， RIS2011 完全被此毒绕过了。很多人相信卡巴的专杀TDSSKILLER可以搞掂此毒。它真能搞掂吗？看图： 3-ris2011与tdsskiler专杀对比.PNG (298.27 K) 2011-2-25 15:24:43 3-tdsskiller.PNG (85.17 K) 2011-2-25 15:39:43 3-TDSSKILLER-杀毒重启后再扫.PNG (93.52 K) 2011-2-25 15:24:43 4-0-tdsskiller杀毒重启后sectorediter运行异常.PNG (41.07 K) 2011-2-25 15:24:43 4-0-tdsskiller杀毒重启后sectorediter运行异常.PNG (41.07 K) 2011-2-25 15:24:43 4-0因病毒干扰sectorediter看到的是假象.PNG (600.51 K) 2011-2-25 15:24:43 4、还是XueTr说实话啊！下图是卡巴专杀TDSSKILLER声称搞掂此毒后，用XueTr看到的： 4-1-TDSSKILER-杀毒重启后所见可疑驱动.PNG (785.14 K) 2011-2-25 15:28:15 卡巴那个专杀不管清理硬盘尾部那200多个扇区内的病毒代码。 4-TDSSKILLER杀毒后并未清除硬盘尾部病毒代码.PNG (618.20 K) 2011-2-25 15:28:15 最后，俺还是用WINPE U盘引导，用老办法，在WINPE环境下手工搞掂了它。用户系统信息：Opera/9.80 (Windows NT 6.1; U; en) Presto/2.7.62 Version/11.01 baohe 最后编辑于 2011-02-25 15:42:50
baohe 大版主帖子:72578 注册: 2003-04-10 来自:	分享到：

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-02-25 15:37 \| 显示全部短消息资料字号：小中大 2楼回复: TDSS TDL4越发嚣张了引用: 原帖由 networkedition 于 2011-2-25 15:32:00 发表可疑文件交流区那个吧，已经上报了。恐怕瑞星不能简单加库了事。此变种绕过了RIS2011的主防。
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-03-10 11:42 \| 显示全部短消息资料字号：小中大 3楼回复: TDSS TDL4越发嚣张了引用: 原帖由万事达于 2011-3-10 11:38:00 发表最新版本瑞星主动防御可以拦截，请升级。谢谢老万
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-04-21 11:34 \| 显示全部短消息资料字号：小中大 4楼回复: TDSS TDL4越发嚣张了引用: 原帖由湖心小筑于 2011-4-21 10:51:00 发表关键是你如何定位到最后的硬盘尾部260多个扇区？他又是如何使病毒启动的？要是以后病毒写在别的地方不是就找不到了？能否说一下定位思路，或者提供一下样本 1、硬盘尾部写入病毒代码问题：Dr. Web发表过技术白皮书，说得很详细。TDSS TDL3 和TDL4都是这路子。每个变种涉及的扇区数目不同。至于涉及多少个扇区，我是在运行病毒样本后，在PE环境下，用SECTOR EDITOR一一查看的（先一键跳到硬盘最后一个物理扇区，然后再逐个扇区向前翻）。 2、病毒如何启动问题：笼统的说，是通过改写MBR 实现。具体细节，请自行查阅 Dr. Web的技术白皮书。 baohe 最后编辑于 2011-04-21 11:35:19
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

baohe 大版主帖子:72578 注册: 2003-04-10 来自:	发表于： 2011-04-29 08:34 \| 显示全部短消息资料字号：小中大 5楼回复: TDSS TDL4越发嚣张了引用: 原帖由湖心小筑于 2011-4-28 23:17:00 发表交流区的是这个样本吗？我是XP环境下直接从PE里修复MBR后就搞定了，另外卡巴的专杀如你说明没有修复末尾的数据，但重启后病毒也没有被加载，这是为啥，是否win7与XP不同？ 1、这个毒的处理要点是：脱离中毒硬盘的影响，修复中毒硬盘的MBR，删除中毒硬盘里的.tmp文件。修复MBR后，硬盘尾部的病毒代码已成废物。作为垃圾，清掉更好；不清也没什么。 2、修复MBR的办法有N种，殊途同归。不必拘泥于哪一种方法。 3、处理此毒的前提是：如何确认自己电脑中了此毒。杀软或专杀扫描，当然是一种办法。但对新变种，杀软扫描有时发现不了异常。简单的判定方法如下：中此毒的电脑： 1.PNG (69.03 K) 2011-4-29 8:33:38 无此毒的电脑： 2.PNG (82.00 K) 2011-4-29 8:33:38
baohe 大版主帖子:72578 注册: 2003-04-10 来自:

<<上一主题|下一主题>>

1

1 / 1 页

跳转页

页面顶部

Powered by Discuz!NT