又一次被病毒袭击了——又是在我最忙碌的时刻

在我忙碌着准备这准备那的时候，我再一次被病毒袭击了。

 

我不是个到处乱逛的人，我只是想找点东西。

 

我不知道该怎么说那些制造这些产品的人，从一个专业人的角度，最不屑的可能就是这了。

对制造这的行业、个人，我是没法不带着最坏的恶意来揣度的。

 

资源总算上传成功，地址如下： http://download.csdn.net/source/1854237

 

趋势科技曾经说他们肯定不做病毒。
不知道国内公司敢不敢这么说？

 

相关文件打包后上传，也不知道为啥不让我看。成功上传，却看不见。

很好，我们不知道谁拿刀拿剑，只管被人砍刺就行了。

 

中毒情形：
使用IE浏览器，Google搜索引擎搜索源代码统计程序，打开排列最前的大概10个网页，还没来得及看即有了下面的第一个特征。
估计是gif中漏洞被利用，执行了嵌入代码，防火墙设置阻止其访问网络之后，又重启系统，该文件已经消失（防火墙规则中显示该程序已经不存在。）

 

特征：
第一个异常试图访问网络，被防火墙提示的是：
360tray.???  (360tray.gif)

 

第二个异常是系统提示：系统文件被修改，并且数字签名有问题。询问需要系统盘恢复。
参考文件XPtips.png.（由于没有系统盘，直接关机，结果表示这是放弃恢复的操作。）

经数字签名检查，发现virus.png中的文件。
其中版本为5.1.2600开头的文件肯定是被篡改的，其中居然还包含了tcpip.sys。
atapi.sys不敢断定，但是怀疑。
spool中的文件应该还好，新打印机可能没和老xp(Microsoft Windows XP 5.1.2600)配合好。

???难道病毒篡改文件就用的是系统版本号？还是系统版本号也被篡改了？

 

第三个异常是查看系统中进程，会发现很多进程开始有1%-2%的CPU占用率，直接导致机器耗电量剧增，明显感觉电池使用时间缩短25%左右。

 

第四个偶然发现的异常：
当打开文件名有“防火墙”、“病毒”、“杀毒”、“木马”字样时，会被自动关闭。
但是对显然的英文名却不敏感，例如“firewall”、“virus”、“killer”。
根据反应频率，会发现大概3秒轮询一次所有打开窗口，发现一些特定字样的打开文件，直接将其关闭。另外，还有些时候会刷新屏幕，感觉明显。

 

第五个未知问题：换操作系统，在Windows系统盘看见一个文件: Systesm.exe。
文件名就很奇怪，位置更加奇怪。
但是再换到Windows下，必须同时开显示隐藏文件和系统文件，才能看见。
其属性仅有数字签名，显示：
签名人姓名：“Qizhi Software (beijing) Co. Ltd”
电子邮件地址：不可用
时间戳：2009年10月21日 20:54:51
详细信息显示反签名人姓名：VeriSign Time Stamping Services Signer - G2

------------------------------------------------

很多事要忙，很久不写了，可是实在……

我只想好好做我的事，但是内斗的牺牲品又包含了我。

 

by: kangtian0

2009.11.28