*Theo mình biết đây là virus đa cấu hình.
- Windown Firewall tự động off, luôn xuất hiện ipsec trong Programs and services ở Tab Exceptions.
- Nó tự tải về máy, nằm trong thư mục %Temp%, tên thì thay đổi khác nhau và tự động chạy trên Task Manager.
- Có một số con gây mất điều khiển một số tiến trình của windown:
+ Hidden files and folders
+ Dis Task manager.
+ ...

*Thao tác nhìn nhận virus
- Mình đã nén nó lại và đặt mật khẩu cho nó, sau đó vào task manager kick nó đi, nếu có tự tải về thì mình kéo thả vào tiếp mục nén, xóa nó và song song đó những con virus đó mình cũng khóa nó lại bằng một chương trình khác. (Thao tác này giúp mình khóa loại virus đó và sưu tầm liên tục nếu nó cứ tải về)
- Đặt điểm trên nói rằng virus nào cùng loại tự tải về đều bị khóa một cách tốt nhất dù nó có tên khác.
- Dòng CRC32 (trong hình ảnh nhiều màu sắc) nói lên nó thuộc virus loại nào. Và trong khi mình viết bài này thì nó không tự tải về nữa mới đâu chứ.
- Hiện tại mình đang thao tác trên chế độ Deep Freeze mở nên yên tâm khi khởi động.
- Ổ C và D không có file autorun nào và con virus nào.

*Khi đã nhận diện và khóa nó, và mình sẽ khóa các loại lại khi mở băng và ngắc mạng. Để khi đóng băng nó có tải về %temp% thì cũng không chạy trên task manager được.
*Khi đã khóa lại thì mình yên tâm với các loại vr này và tìm kiếm ở những lần sau xem nó còn tải về con nào loại khác không trước khi mình tìm ra hướng giải quyết ngoài cách ghost lại máy.
*Đang tìm cách trị tuyệt đối vì mình còn chưa biết tiến trình nào làm cho FW của mình tự off, có lẽ điều đó khiến cho vr tự tải về chăng ? Nếu trị liệu phần FW của hệ thống lại như ban đầu của Windown thì sẽ hết tự tải nữa không ? mình đang có một số câu hỏi như vậy, anh em gần xa ghé blog giúp mình trả lời một số câu hỏi và có suy luận nào hay hơn không, mình muốn diệt bằng tay con này ?

DOWNLOAD:
http://www.2shared.com/file/FCzpvzbv/Temp.html
file PTS
http://www.2shared.com/photo/NMPsxnIv/PTS-vr.html

- ngày 10-2-2011
- quét: bkav free
- file nhiễm virus: spoolsv.exe
- đường dẫn: C:\WINDOWS\system32\spoolsv.exe
- dung lượng: 57kb
* Chưa biết file này có tác dụng gì ? xóa nó có hư hệ thống không ?

http://www.neuber.com/taskmanager/process/spoolsv.exe.html
Process name: Print+Fax Spooler
Product: Windows
Company: Microsoft
Security Rating: 1

lưu file: (pass giải nén: 1)
http://4share.ws/file/y32f0ah1y/spoolsv.rar.html
http://www.2shared.com/file/0CTLe53q/spoolsv.html

DOWNLOAD:
http://www.2shared.com/file/-Db0D3l3/vr-SysAnti.html

http://www.hvaonline.net/hvaonline/posts/list/36183.hva
Nội dung thảo luận: (phamthaiha)
Cty e bị những con này ạ:
Em có file đính kèm
Và những bệnh như sau:
Task manager, Regedit bị disable (màu xám - không vào được), có dùng fix lại đc nhưng vài phút sau lại bị.
Em không biết là virus hay trojan gì?
Nhưng vào mạng các thứ vẫn ngon lành.
Mỗi cái phần mềm kế toán của cty em là load cực lâu.
Nhưng con này em diệt = tay hết nhưng lại tự sinh ra.
Các cao thủ phân tích hộ em mẫu này với ạ, và chỉ em cách diệt với.
Vì em cài avira vào thì không cài được.
Vào web avg cũng không vào được.
Sysmantec cũng không ăn thua, có cài sysmantec nhưng dùng processer thì vẫn thấy báo virus đang chạy (Như hình 1 và hình 2), chúng thay tên liên tục, em xoá đi lại hiện với tên mới, tự sinh sôi.
Và cái autorun + virus ở ổ C thì diệt lại hiện, diệt lại hiện (em đã tắt nó = task manager và Processer nhưng 1 lúc lại hiện lại, vào Msconfig bỏ chọn nhưng restart máy vẫn có!!!!!

Virus đây ạ, các cao thủ phân tích hộ e với
http://www.mediafire.com/?4d0mjnl6wl89j6h

DONWLOAD: virus , pass giải nén: 1
- http://www.2shared.com/file/X6iYRaSk/Tong_hop_virus-choiblogtk.html
- http://www.4shared.com/file/5IXq_lt5/vr_Tong_hop_virus-choiblogtk.html

Hệ thống giám sát virus của Bkav đã phát hiện nhiều kết quả tìm kiếm trên Internet công cụ (tool) diệt virus Stuxnet dẫn đến một tool mạo danh hãng phần mềm Microsoft. Công cụ này không những không có tác dụng diệt Stuxnet mà chính là một loại virus phá hủy dữ liệu, nó sẽ xóa toàn bộ dữ liệu trên ổ đĩa C khi được kích hoạt.

Giữa muôn vàn “đồng loại”, chúng vẫn có thể “tỏa sáng” nhờ những nét rất riêng!

Virus Elk Cloner

Vào những năm 1980, loại máy tính Apple II rất phổ biến trong các trường học tại Mỹ và thật trùng hợp khi tác giả của virus Elk Cloner nhắm vào loại máy tính này lại là một học sinh. Đó cũng là loại virus đầu tiên hướng tới các máy vi tính cá nhân trong lịch sử.

Tác giả của virus này là Richard Skrenta, người đang học lớp 9 vào năm 1982. Virus Elk Cloner khiến các máy tính bị nhiễm hiển thị một… bài thơ sau mỗi 50 lần khởi động. Ngày nay thì đây chỉ là một trò cười nhưng vào thời điểm ấy, nó thực sự gây chấn động dư luận.

Virus Conficker

Nó đã làm cho một mạng lưới máy tính khổng lồ bị nhiễm độc và sẵn sàng làm theo mệnh lệnh. Điều này đã gây ra rất nhiều lo lắng khi Conficker xuất hiện vào năm 2008.

Các chính phủ và tổ chức đã phải chi ra không ít tiền để đảm bảo rằng máy tính của họ không nằm trong “đội quân ma” của Conficker. Tuy nhiên, vẫn còn không ít máy tính đang tồn tại trên thế giới chịu ảnh hưởng của virus này và có thể một ngày nào đó sẽ nhận lệnh tấn công và một hệ thống nào đó.

Virus Brain

Brain có thể không phải là loại virus phức tạp nhất nhưng nó là kẻ đầu tiên thực sự nhắm vào các máy tính cài hệ điều hành DOS của Microsoft. Nó “ngốn” bộ nhớ của máy và khiến cỗ máy nạn nhân hiện ra thông báo đã bị nhiễm độc.

Brain còn thậm chí hiện luôn cả địa chỉ cần liên hệ nếu muốn giải quyết rắc rối, đó là một cặp anh em ở Pakistan. Những người này giải thích rằng họ không có ý định gây hại cho mọi người mà đó chỉ đơn giản là một biện pháp bảo vệ bản quyền dành cho phần mềm y tế mà họ là tác giả. Không hiểu ai đã copy những đoạn code đó và khiến virus lây lan. 

Virus ILOVEYOU

Virus này tấn công vào tình cảm con người khi nó được đính kèm theo các email tiêu đề ILOVEYOU. Và người ta thực sự đã bị mắc lừa rất nhiều. Khoảng 10% máy tính có nối mạng internet đã trở thành nạn nhân vào năm 2000.

Virus không chỉ lây lan qua email mà còn tự nhân bản chính nó trên ổ cứng của người dùng và tự download phần mềm ăn trộm mật khẩu về máy tính. Thế giới đã tốn mất hàng tỉ USD, tất cả chỉ vì tình yêu.

Sâu máy tính Morris

Khởi đầu, nó cũng chỉ là một thí nghiệm của tác giả Robert Morris, khi đó đang là nghiên cứu sinh sau đại học. Ông ta muốn thử xem mạng Internet vào thời điểm sơ khai của năm 1988 rộng lớn tới mức nào. Không phụ lòng chủ nhân, sâu máy tính Morris lây lan ra khoảng 6.000 máy tính của chính phủ và các trường đại học, khiến chúng chậm hẳn đi hoặc thậm chí bị treo.

Morris đã bị phát hiện và bị phạt, tuy nhiên có vẻ ông đã rút ra bài học. Giờ đây, Morris trở thành giáo sư tại Học viện MIT danh tiếng của Mỹ.

Virus Code Red

Virus này có tới 2 phiên bản và cả 2 đều cực kỳ nguy hiểm. Người dùng không cần phải mở file đính kèm email hay copy thứ gì để “mời” virus vào nhà, thay vì thế nó dùng luôn đường truyền Internet của họ và xâm nhập qua lỗ hổng của hệ điều hành Windows.

Sau đó, virus sẽ khiến máy tính của người dùng trở thành một dạng “nô lệ” khi kẻ gửi virus có thể nắm quyền sử dụng máy một cách toàn diện. Hắn có thể ăn cắp thông tin hay dùng máy tính đó để tấn công các máy khác.

Ngay cả Nhà trắng cũng lo ngại và phải tìm mọi cách ngăn chặn việc lây nhiễm. Tuy nhiên không phải ai cũng đủ sức làm như thế, kết quả là hơn 200.000 máy chủ đã bị nhiễm virus này vào năm 2001.

Virus Melissa

Điểm đặc biệt của virus này là nó đặt ra mốc khởi đầu cho kỷ nguyên lây nhiễm qua email. Trước đó, virus chỉ có thể “di chuyển” qua đường đĩa mềm chậm chạp và kém hiệu quả. Sau khi đã đột nhập, nó sẽ tìm tới sổ địa chỉ và tự gửi chính mình cho toàn bộ bạn bè của chủ nhân. Ai mà lại đề phòng một email của bạn bè cơ chứ, chính vì thế Melissa lây nhiễm càng nhanh chóng hơn.

Tác giả của virus thú nhận rằng anh ta viết nó cho một vũ nữ thoát y vô tình gặp ở Florida. Thật là một món quà "lãng mạn"!

Virus Nimda

Virus Nimda (viết ngược của từ Admin – người điều hành – từ thường dùng trong lĩnh vực máy tính) xuất hiện năm 2001 và nhanh chóng vươn lên chiếu trên trong bảng xếp hạng virus. Chỉ mất 22 phút để nó trở thành virus lây nhiễm rộng nhất trên Trái đất.

Nó lây lan qua các website, qua email và qua cả các lỗ hổng của hệ thống máy chủ. Nimda xuất hiện chỉ sau vụ khủng bố 11/9 chỉ khoảng 1 tuần và nó khiến người ta liên tưởng tới một vụ tấn công bằng vũ khí tin học.

Sâu máy tính Sasser

"Thành tích" của loại sâu máy tính này cũng rất ấn tượng. Vào năm 2004, nó đã khiến Lực lượng bảo vệ bờ biển nước Anh mất khả năng sử dụng bản đồ trên máy tính, làm cho hãng tin AFP nổi tiếng không thể liên lạc với vệ tinh và buộc hãng hàng không Delta hủy các chuyến bay vì hệ thống máy tính của họ không hoạt động.

Ngoài ra, các trường đại học, các tập đoàn lớn và cả các bệnh viện cũng bị tấn công. Tất cả là tác phẩm của một cậu bé 17 tuổi người Đức. Cái giá phải trả là 21 tháng án treo và tham gia một số hoạt động cộng đồng.

Virus Storm

Cái tên này xuất phát từ mẹo giúp virus lây lan. Đầu năm 2007, người ta bỗng thấy hàng loạt email về số nạn nhân trong các trận bão (storm) ở châu Âu và có một đường link tới bài viết. Thời điểm ấy, bão tố là chuyện thời sự và rất nhiều người không hề nghi ngờ khi vào trang web đó, đồng nghĩa với việc download virus về máy.

Tiêu đề thư cũng thường xuyên được thay đổi để phù hợp với thực tế. Sau đó, thậm chí nó còn biến tướng thành thư của đội ngũ hỗ trợ kỹ thuật hay thư kèm link tới các trang web đen để kích thích trí tò mò. Ngày nay, đây vẫn là cách lây nhiễm virus phổ biến nhất.

Danh sách malware có trong gói :

test.exe Trojan Horse
test (1).exe Backdoor.Trojan
test (2).exe Adware.Iefeats
test (3).exe W32.Waledac
test (4).COM Hacktool
test (7).exe Trojan.Vundo
test (8).exe Adware.ZenoSearch
test (9).exe Downloader
test (11).exe Adware.ZenoSearch
test (12).exe Trojan.Dropper
test (13).exe Adware.AdvertMen
test (14).exe Backdoor.Trojan
test (15).exe Backdoor.IRC.Bot
test (16).exe Backdoor.Ciadoor
test (17).exe Backdoor.Trojan
test (18).exe W32.Virut.B
test (19).exe Backdoor.Trojan
test (20).exe Trojan Horse
test (21).exe Backdoor.Trojan
test (22).exe W32.IRCBot
test (23).exe Backdoor.Trojan
test (24).exe Hacktool
test (25).exe W32.Spybot.Worm
test (26).exe W95.CIH
test (27).exe Downloader.Zlob!gen.2
test (28).exe W95.CIH.damaged
test (29).exe W95.CIH.damaged
test (30).exe Downloader.Zlob!gen.2
test (31).exe Infostealer.Gampass
test (32).exe Infostealer.Gampass
test (33).exe Infostealer.Gampass
test (34).exe Backdoor.Graybird
test (35).exe Infostealer.Gampass
test (36).exe Downloader.Bancos!gen
test (37).exe IRC Trojan
test (38).exe Infostealer
test (39).exe Infostealer.Bancos
test (40).exe Backdoor.Trojan
test (41).exe Trojan.Adclicker
test (42).exe W32.Looked.BK
test (43).exe Trojan Horse
test (44).exe Downloader
test (45).exe Downloader
test (46).exe Infostealer
test (47).exe Suspicious.MH690
test (48).exe Trojan Horse
test (49).exe Infostealer
test (50).exe Trojan Horse
test (51).exe Trojan.Flush.G
test (52).exe Trojan Horse
test (54).exe Backdoor.Graybird
test (55).exe Trojan.Flush.G
test (56).exe Infostealer
test (57).exe Adware.Lop
test (58).exe Adware.Lop
test (59).exe Downloader
test (60).exe Backdoor.Ciadoor
test (61).exe Backdoor.Ciadoor
test (62).exe Downloader
test (63).exe Downloader
test (64).exe Downloader
test (65).exe Downloader
test (66).exe Suspicious.MH690
test (67).exe Downloader
test (68).exe Trojan.Pandex
test (69).exe W32.SillyDC
test (70).exe Trojan.Packed.14
test (71).exe Backdoor.Spakrab
test (72).exe Trojan Horse
test (73).exe Trojan.Packed.12
test (74).exe Trojan.Adclicker
test (75).exe Trojan.Adclicker
test (76).exe Trojan Horse
test (77).exe Trojan Horse
test (78).exe Adware.CDT
test (79).exe Backdoor.Trojan
test (80).exe Trojan Horse
test (81).exe Trojan Horse
test (82).exe W32.Pinfi
test (83).exe Trojan Horse
test (84).exe Trojan Horse
test (85).exe Trojan.Packed.13
test (86).exe Spyware.Ardakey
test (87).exe Trojan Horse
test (88).exe Downloader
test (89).exe Trojan.Farfli
test (90).exe Packed.Generic.180
test (91).exe Backdoor.Prorat
test (92).exe Trojan Horse
test (93).exe Trojan.Startpage
test (94).exe Trojan.Peacomm.D
test (95).exe Adware.Multidropper
test (96).exe Trojan.Mebroot
test (97).exe Packed.Generic.187
test (98).exe W32.Spybot.Worm
test (99).exe SecurityRisk.Downldr
test (100).exe Backdoor.Ciadoor
test (101).exe Backdoor.Papi
test (102).exe Trojan Horse
test (103).exe Trojan Horse
test (104).exe Backdoor.Trojan
test (105).exe Trojan Horse
test (106).exe Infostealer
test (107).exe Trojan.Phel
test (108).exe Downloader
test (109).exe W32.Spybot.Worm
test (111).exe W32.Spybot.Worm
test (112).exe W32.IRCBot
test (113).exe Bloodhound.Mydoom.Cli
test (114).exe Bloodhound.Exploit.21
test (115).exe W32.Spybot.Worm
test (116).exe Trojan.Startpage
test (118).exe Trojan.Mdropper
test (119).exe XPAntivirus
test (120).exe AntiVirus2008
test (121).exe Trojan.Packed.13
test (122).exe Trojan.Packed.13
test (123).exe Trojan.Packed.13
test (124).exe Trojan Horse
test (125).exe Trojan.Packed.13
test (126).exe Trojan Horse
test (127).exe Downloader.MisleadApp
test (128).exe Packed.Generic.184
test (129).exe Trojan Horse
test (130).exe Trojan.Packed.13
test (131).exe Downloader.MisleadApp
test (132).exe Trojan.Packed.13
test (133).exe Trojan.Packed.13
test (134).exe Downloader.MisleadApp
test (135).exe Trojan.Packed.13
test (136).exe SecurityRisk.Downldr
test (137).exe Trojan.Packed.13
test (138).exe Packed.Generic.187
test (139).exe Trojan.Packed.13
test (140).exe Backdoor.Graybird
test (141).exe Backdoor.Graybird
test (142).exe Infostealer.Gampass
test (143).exe Trojan.Packed.NsAnti
test (144).exe W32.HLLW.Gaobot.gen
test (145).exe Backdoor.Graybird
test (146).exe Trojan.Packed.NsAnti
test (147).exe Infostealer.Gampass
test (148).exe W32.Looked.AH
test (149).exe W32.Gammima.AG
test (150).exe Backdoor.Graybird
test (151).exe Infostealer.Gampass
test (152).exe Suspicious.MH690
test (153).exe Infostealer.Onlinegame
test (154).exe Trojan Horse
test (155).exe W32.Gammima.AG
test (156).exe Backdoor.Hupigeon
test (157).exe Trojan Horse
test (158).exe W32.SillyP2P
test (159).exe Hacktool
test (160).exe W32.SillyP2P
test (161).exe Hacktool.Rootkit
test (162).exe Backdoor.Trojan
test (163).exe Trojan.Adclicker
test (164).exe Backdoor.Prorat
test (165).exe Downloader
test (166).exe Backdoor.Trojan
test (167).exe Trojan Horse
test (168).exe Infostealer.Gampass
test (169).exe Backdoor.Paproxy
test (170).exe Hacktool
test (171).exe Hacktool
test (172).exe Trojan.Packed.NsAnti
test (173).exe Infostealer.Gampass
test (174).exe Trojan.Packed.NsAnti
test (175).exe Trojan.Pandex
test (176).exe Infostealer.Gampass
test (177).exe Backdoor.Haxdoor.C
test (178).exe Hacktool.Rootkit
test (179).exe Hacktool.Rootkit
test (180).exe Trojan.Qhosts
test (181).exe Hacktool.Rootkit
test (182).exe Trojan Horse
test (183).exe Trojan.Mebroot
test (185).exe Hacktool.Rootkit
test (186).exe W32.IRCBot.Gen
test (187).exe W32.HLLW.Gaobot.gen
test (188).exe W32.Klez.H@mm
test (189).exe Adware.Lop
test (190).exe W32.SillyFDC
test (191).exe Trojan.Dropper
test (192).exe Trojan.Farfli
test (193).exe Downloader
test (194).exe W32.Mumawow.F!inf
test (195).exe Downloader
test (197).exe Downloader
test (198).exe Trojan Horse
test (199).exe W32.Virut!gen
test (200).exe Trojan.Adclicker
test (200).exe 888Bar
test (200).exe Adware.MaxSearch
test (201).exe Downloader
test (202).exe Downloader.Trojan
test (203).exe Adware.Lop
test (204).exe Adware.BargainBuddy
test (205).exe Trojan.Adclicker
test (205).exe 888Bar
test (206).exe Downloader.Trojan
test (207).exe Downloader
test (208).exe Infostealer.Bancos
test (209).exe Trojan.Packed.11
test (210).exe Backdoor.Bifrose.K
test (211).exe Trojan Horse
test (212).exe Infostealer
test (213).exe Backdoor.Bifrose
test (214).exe Backdoor.Bifrose
test (215).exe Suspicious.MH690
test (216).exe Infostealer
test (217).exe Backdoor.Bifrose
test (218).exe Backdoor.Bifrose
test (219).exe Infostealer
test (220).exe Backdoor.Bifrose
test (221).exe Trojan Horse
test (222).exe Backdoor.Bifrose
test (223).exe Backdoor.Bifrose
test (224).exe Backdoor.Bifrose
test (225).exe W32.Spybot.Worm
test (226).exe W32.Virut.A
test (227).exe W32.Virut.W
test (228).exe W32.Virut.B
test (229).exe W32.Virut.R
test (230).exe W32.Virut.B
test (231).exe W32.Virut.B
test (232).exe W32.Virut.B
test (233).exe W32.IRCBot
test (234).exe W32.Virut.A
test (235).exe W32.Virut.H
test (236).exe W32.Virut.W
test (237).exe W32.Virut.U
test (238).exe W32.Virut.W
test (239).exe W32.IRCBot
test (241).exe Trojan Horse
test (242).exe Backdoor.Prorat
test (243).exe VBS.Kidarcade
test (244).exe Downloader
test (245).exe Trojan.Dropper
test (246).exe Infostealer
test (247).exe Backdoor.IRC.Dr
test (248).exe W32.Almanahe.C!inf
test (249).exe Backdoor.Bifrose
test (250).exe Adware.BetterInternet
test (250).exe Trackware.SAHAgent
test (251).exe Trojan.Peacomm.D
test (252).exe Trojan.Pandex
test (253).exe Backdoor.Graybird!Gen
test (255).exe W32.Mytob@mm
test (256).exe W32.Randex
test (257).exe W32.Mydoom.A@mm
test (258).exe W32.HLLW.Gaobot.gen
test (259).exe Backdoor.Graybird
test (260).exe Infostealer
test (261).exe Backdoor.Hupigeon
test (262).exe W32.Mytob@mm
test (263).exe Backdoor.Trojan
test (264).exe Trojan Horse
test (265).exe Trojan Horse
test (266).exe Trojan Horse
test (267).exe Trojan Horse
test (268).exe Trojan Horse
test (269).exe Trojan Horse
test (271).exe Backdoor.Trojan
test (272).exe Backdoor.Graybird
test (273).exe Backdoor.Graybird
test (274).exe Trojan.Zbot!gen
test (275).exe Backdoor.Graybird!Gen
test (276).exe Packed.Generic.47
test (277).exe Trojan Horse
test (278).exe Suspicious.MH690
test (279).exe Hacktool.Rootkit
test (280).exe W32.HLLP.Sality!inf
test (281).exe W32.Sality.AE
test (282).exe W32.Spybot.Worm
test (283).exe W32.Sality.AE
test (284).exe W32.Sality.AE
test (285).exe Bloodhound.Beagle
test (286).exe Bloodhound.Beagle
test (287).exe W32.Sality.U
test (288).exe Infostealer.Lineage
test (289).exe Backdoor.Prorat
test (290).exe Trojan Horse
test (291).exe Trojan.Packed.NsAnti
test (292).exe Infostealer.Onlinegame
test (293).exe Infostealer.Lineage
test (294).exe Trojan.Packed.14
test (295).exe Downloader
test (296).exe Trojan.Zlob
test (297).exe Packed.Generic.182
test (298).exe Trojan.Cinmeng
test (299).exe Downloader
test (300).exe Trojan.Zlob
test (301).exe Packed.Generic.182
test (302).exe Infostealer.Lineage
test (303).exe W32.Erkez.B@mm
test (304).exe W32.Erkez.B@mm
test (305).exe Backdoor.IRC.Bot
test (306).exe W32.HLLW.Gaobot.gen
test (307).exe Bloodhound.Mydoom.Cli
test (308).exe W32.HLLW.Gaobot
test (309).exe W32.Spybot.Worm
test (310).exe W32.Virut.B
test (311).exe Downloader
test (312).exe Infostealer.Bancos
test (313).exe Infostealer.Gampass
test (314).exe Infostealer.Bancos!gen
test (315).exe Infostealer.Gampass
test (316).exe Trojan Horse
test (317).exe Infostealer.Banker.C
test (318).exe Trojan Horse
test (319).exe Trojan.Bankem
test (320).exe Infostealer.Gampass
test (321).exe Infostealer.Gampass
test (322).exe Infostealer.Gampass
test (323).exe Trojan.Adclicker
test (324).exe Downloader.MisleadApp
test (325).exe Infostealer.Banker.C
test (326).exe Downloader
test (327).exe Trojan.Vundo
test (328).exe W32.Trats!inf
test (329).exe Trojan.Vundo
test (330).exe Trojan.Vundo
test (331).exe Trojan.Vundo
test (332).exe Trojan.Vundo.B
test (333).exe Trojan Horse
test (334).exe Trojan.Vundo.B
test (335).exe Trojan.Vundo
test (336).exe Suspicious.Vundo
test (337).exe Trojan.Vundo
test (338).exe Trojan.Vundo
test (339).exe Trojan.Vundo.B
test (340).exe W32.Trats!inf
test (341).exe Trojan.Vundo
test (342).exe Trojan.Vundo
test (343).exe Trojan.Vundo
test (344).exe W32.Trats!inf
test (345).exe Trojan.Vundo
test (346).exe Trojan.Vundo
test (347).exe Trojan.Vundo.B
test (348).exe Trojan.Vundo
test (349).exe Trojan Horse
test (350).exe Trojan Horse
test (351).exe Trojan.Vundo
test (352).exe Trojan.Vundo
test (353).exe W32.Rahack.W
test (354).exe Trojan Horse
test (355).exe W32.Rahack.W
test (356).exe W32.SillyP2P
test (357).exe W32.Whybo!inf
test (358).exe W32.Bacterra.Worm
test (359).exe Suspicious.MH690
test (360).exe W32.Netsky.P@mm
test (361).exe Suspicious.MH690
test (362).exe W32.Spybot.Worm
test (363).exe Trojan.Gimmiv.A
test (364).exe Trojan.Erotpics
test (365).exe Backdoor.Spakrab
test (366).exe Packed.Generic.180
test (367).exe Trojan.Zlob
test (368).exe Trojan.Zlob
test (369).exe Downloader
test (370).exe Trojan.Zlob
test (371).exe Downloader
test (372).exe Trojan.Zlob
test (373).exe Trojan.Zlob
test (374).exe Trojan.Zlob
test (375).exe Trojan.Zlob
test (376).exe Adware.CoolWebSearch
test (377).exe Trojan.Emcodec
test (378).exe Trojan.Zlob
test (379).exe Trojan.Zlob
test (380).exe Trojan.Zlob
test (381).exe Downloader.Zlob!gen.3
test (382).exe Trojan.Zlob
test (383).exe Trojan.Zlob
test (384).exe Trojan.Emcodec
test (385).exe Backdoor.Graybird
test (387).exe Backdoor.Graybird
test (388).exe Packed.Generic.183
test (389).exe SpySheriff
test (390).exe Hacktool.HideWindow
test (391).exe W32.SillyFDC
test (392).exe Adware.Lop
test (394).exe Trojan.Galapoper.A
test (395).exe W32.SillyFDC
test (396).exe Trojan.Galapoper.A
test (397).exe Backdoor.Graybird
test (398).exe Trojan.Dropper
test (399).exe Trojan Horse
test (400).exe Trojan.Horst
test (402).exe Trojan Horse
test (404).exe BAT.Trojan
test (405).exe W32.Ristam
test (406).exe Trojan Horse
test (407).exe Bat.DelFiles.Trojan
test (408).exe Trojan Horse
test (409).exe VBS.Delete.Trojan
test (412).exe Backdoor.IRC.Bot
test (413).exe W32.IRCBot.Gen
test (413).exe Hacktool.DFind
test (414).exe Downloader
test (415).exe Infostealer
test (416).exe Trojan.Logger
test (417).exe Spyware.Keylogger
test (418).exe Infostealer
test (419).exe Spyware.Ardakey
test (420).exe Backdoor.Ciadoor
test (421).exe Trojan Horse
test (422).exe Spyware.Perfect
test (423).exe Spyware.Perfect
test (424).exe Spyware.Ardakey
test (425).exe Spyware.Perfect
test (426).exe Spyware.Perfect
test (428).exe Spyware.Perfect
test (429).exe Trojan Horse
test (430).exe Trojan Horse
test (431).exe W32.Looked.AH
test (432).exe Trojan Horse
test (435).exe Casino
test (436).exe Infostealer.Gampass
test (437).exe Infostealer.Gampass
test (438).exe Infostealer.Gampass
test (439).exe Infostealer.Gampass
test (440).exe Infostealer.Gampass
test (441).exe Infostealer.Gampass
test (442).exe Infostealer.Lemir.Gen
test (443).exe Infostealer.Gampass
test (444).exe Infostealer.Gampass
test (445).exe Infostealer.Lineage
test (446).exe Infostealer.Gampass
test (447).exe Trojan.Packed.NsAnti
test (448).exe Infostealer.Gampass
test (449).exe W32.Gammima.AG
test (450).exe Infostealer.Gampass
test (451).exe Infostealer.Gampass
test (452).exe Infostealer.Gampass
test (453).exe Trojan.Vicsfram
test (454).exe W32.SillyFDC
test (455).exe Trojan Horse
test (456).exe Infostealer.Onlinegame
test (457).exe Backdoor.Trojan
test (458).exe Infostealer
test (459).exe Backdoor.Trojan
test (460).exe Backdoor.Trojan
test (461).exe Infostealer
test (462).exe Infostealer
test (463).exe W32.IRCBot.Gen
test (464).exe W32.Spybot.Worm
test (465).exe W32.Spybot.Worm
test (466).exe W32.IRCBot
test (467).exe W32.IRCBot
test (468).exe W32.IRCBot
test (469).exe W32.IRCBot
test (470).exe Downloader
test (471).exe Spyware.Perfect
test (472).exe Spyware.Perfect
test (473).exe Spyware.InvisibleKey
test (474).exe Trojan Horse
test (475).exe Trojan Horse
test (476).exe Trojan Horse
test (477).exe Trojan Horse
test (478).exe Trojan Horse
test (479).exe Trojan Horse
test (480).exe Trojan Horse
test (481).exe Trojan Horse
test (482).exe Trojan Horse
test (483).exe Trojan Horse
test (484).exe Trojan Horse
test (485).exe Trojan Horse
test (486).exe Trojan.Anserin
test (487).exe Trojan.Mebroot
test (488).exe Trojan.Anserin
test (489).exe Trojan.Anserin
test (490).exe Adware.VirtuMonde
test (491).exe Trojan.Anserin
test (492).exe Infostealer
test (493).exe Trojan.Anserin
test (494).exe Suspicious.MH690
test (495).exe Trojan.Mebroot
test (496).exe Trojan.Anserin
test (497).exe Trojan.Anserin
test (498).exe Trojan.Anserin

link download:
http://www.megaupload.com/?d=ALBAZXWE
(Password: 500samples)

http://www.ziddu.com/download/11770673/500samples_Doityourself.rar.html
Password: 500samples

tìm google (phân tích virus SafeSys)
---------------------------
Tên virus : SafeSys
Loại : autorun, lây file
Mức độ : nguy hiểm, ai không có kinh nghiệm xin chớ vọc
Khuyến cáo : khi sử dụng máy ảo để chạy thử virus phải tắt hết những đường share với máy thật -> ko khéo máy thật dính thì lại càng nguy !
Thông tin thêm : virus có khả năng qua mặt deepfreeze nhưng phải cần quyền admin, quyền limit thì virus này cũng chịu thua.

---------------------------

Quá trình tấn công của virus:
- Tạo ra file "Program Files\sNiu.dll". Sau đó dùng Rundll32 để kích hoạt file này với Entry Point là MyDllEntry. Mình cũng chưa rõ tác dụng của dll này để làm gì.
- Tạo ra một driver với tên ngẫu nhiên và phần mở rộng là ".tmp", nằm trong thư mục "DOCUMENTS AND SETTINGS\\LOCAL SETTINGS\Temp". Driver này được đăng ký với tên là DogKiller. Đây là driver chủ chốt của virus. Virus sử dụng driver này để ghi file trực tiếp lên ổ cứng và qua mặt DeepFreeze.
- Tạo ra một driver với tên ngẫu nhiên, phần mở rộng là ".fon" và copy vào thư mục "windows\Fonts". Driver này có mục đích hỗ trợ driver chính.
- Từ mức driver, virus tạo file autorun.inf và copy chính nó vào các ổ đĩa. Sau đó nó copy thêm một bản nữa vào "Program Files\Common Files". Đây là file mà virus đăng ký chạy cùng win với khoá "HKLM\Software\Microsoft\Windows\CurrentVersio n\Ru n"
- Cũng từ driver, virus sửa lại nội dung của file "Windows\System\spoolsv.exe". Đây là dịch vụ quản lý share máy in của win. Khi đã kiểm soát được dịch vụ này, virus có thể lây lan rất nhanh qua mạng LAN, bởi vì đa số mạng LAN đều xài máy in share. Ngoài ra, virus còn lợi dụng spoolsv để gọi lại nó trong trường hợp bị kill.
- Đăng ký một lô các khoá "Image Execution Options" để chặn các av nổi tiếng và các tool như IceSword, Autoruns, ....

Quá trình kích hoạt virus :
- Virus được kích hoạt qua 2 đường : khởi động file "SafeSys.exe" cùng với win và gọi bởi dịch vụ dỏm "spoolsv.exe". Tham số truyền vào khi virus khởi động cũng rất khả nghi ""c:\program files\common files\safesys.exe" -SSDT". Mình cũng chưa phân tích kỹ xem virus cần tham số này để làm gì.
- Khi đã khởi động xong, virus sẽ gọi tiến trình "windows\system32\svchost.exe" của win và inject code vào tiến trình này. Tiến trình này giờ đã trở thành virus và nó sẽ gọi thêm một tiến trình giống như vậy để bảo vệ lẫn nhau. Khi xong việc, SafeSys sẽ tự kết thúc. Phần việc còn lại là của svchost.
- Tiến trình svchost bị nhúng code sẽ thực hiện các công việc phá hoại và lây lan của virus. Ngoài ra nó còn liên tục kiểm tra ( khoảng sau 5 giây ) xem có tồn tại các tool như Icesword, autoruns,... hay ko, nếu có nó sẽ kill ngay. Mèo cũng chưa phân tích xem nó kill IS như thế nào.

Mẩu virus do bạn cafe.kfc cung cấp. Bạn nào muốn thì cứ liên hệ bạn ấy. Mình xin nhắc lại: virus này rất nguy hiểm và dai dẳng !

Mỏi tay quá, khi nào rảnh mình sẽ viết tiếp về cách diệt.

Download: mẫu vr: pass giải nén: 1
http://www.4shared.com/file/ZvUUYouM/vr-SafeSys-51kb.html
or
http://4share.ws/file/dp4b0ag59/vr-SafeSys-51kb.rar.html
or
http://www.mediafire.com/?95go9n5i9yg1u5p

- Hôm nọ máy mình bị nhiễm 2 con virus SysAnti.exe (loại 51kb, 93kb) và thế là hạnh phúc đến với tôi như thế.
- Hôm nay rãnh lên mạng tìm tòi về nó thì cũng có hướng dẫn tiêu diệt nó, có điều khác cách mình làm.
- Mình muốn chia sẽ 2 con vr có dung lượng SysAnti.exe-51kb, SysAnti-93kb.
- Nếu ai có mẫu virus cùng loại, loại nào hay hay như vậy thì send cho mình nha. Xin chia sẽ và học hỏi cùng các bạn.



- Mẫu virus ở đây:

DOWNLOAD: pass giải nén: 1
http://www.4shared.com/file/Jl0sHqnc/vr-SysAnti.html
http://4share.ws/file/nhzg0ag5d/vr-SysAnti.rar.html