求助。。中了个叫HD_X.bat的蠕虫病毒

Jiangyuluo · 发表于 2022-2-12 20:32

本帖最后由 Jiangyuluo 于 2022-2-12 20:36 编辑

被感染的软件除了重装没有其他解决办法
与synaptics类似，打开文件后会生成一个新的exe
例如“qq.exe"打开后变成了”HD_qq.exe"
运行的是HD_qq.exe，qq.exe没有正常运行
火绒可以检测出这种病毒，但是没办法还原软件
有没有高手尝试能不能还原啊

病毒出处竟然是在我们论坛发现的
刚学OD的时候找了个查壳的工具
打开后我立马发现桌面软件不对劲，已经打开的一个软件没有运行，运行的是HD_xxx.exe
精yi的大佬分析说这个还有远控

样本：https://yuluoya.lanzouo.com/i7wzuzriiha
存在于多个系统目录

FleTime · 发表于 2022-2-13 03:45

论坛里下载文件导致染毒？哪个帖子的文件，链接发一下

tl;dr · 发表于 2022-2-13 04:47

提示: 作者被禁止或删除内容自动屏蔽

1wang · 发表于 2022-2-13 08:08

pe下360急救箱

韩君子 · 发表于 2022-2-13 08:27

火绒全盘杀毒试试

ahov · 发表于 2022-2-13 15:18

801a5d1a35f9d98eb4250e9db7954725 - HD_X.dat

确实有远控，远程地址为hackerinvasion.f3322.net

Farli/Zegost型的后门远控病毒

样本有Rootkit来自保，驱动名称叫做QAssist.sys，位于C:\Windows\System32\drivers\QAssist.sys

样本会自我复制到C:\Windows\System32\TXPlatforn.exe，并且启动自保

服务名称叫做TXPlatforn

衍生物：
a4329177954d4104005bce3020e5ef59 - C:\Windows\System32\TXPlatforn.exe
3b377ad877a942ec9f60ea285f7119a2 - svchos.exe
4e34c068e764ad0ff0cb58bc4f143197 - C:\Windows\System32\drivers\QAssist.sys

ahov · 发表于 2022-2-13 15:20

刚刚发现，样本把RUNDLL32.EXE重命名成了aon.exe来执行的恶意操作

Jiangyuluo · 发表于 2022-2-13 17:05

ahov 发表于 2022-2-13 15:18
801a5d1a35f9d98eb4250e9db7954725 - HD_X.dat

确实有远控，远程地址为hackerinvasion.f3322.net

TXPlatforn.exe
svchos.exe
QAssist.sys这三个都可以被火绒截杀
火绒也可以把被感染的软件都给删了不过我电脑被感染的文件很多。。一个一个下载回来很麻烦
想问问大佬有没有方法还原文件，类似syn的还原工具

Jiangyuluo · 发表于 2022-2-13 17:08

FleTime 发表于 2022-2-13 03:45
论坛里下载文件导致染毒？哪个帖子的文件，链接发一下

我软件下了很久了，之前论坛号忘了所以这个号是新号，之前下来没用OD，也没下什么杀软，也是最近学OD的时候发现运行的文件都终止了，才发现有这个蠕虫。帖子我也忘记叫什么了。。应该删了吧

flyjerry · 发表于 2022-2-14 09:45

断网杀毒一锅端

帐号		自动登录	找回密码
密码			注册[Register]

tl;dr tl;dr 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	3^# tl;dr 发表于 2022-2-13 04:47 吾爱破解论坛没有任何官方QQ群，禁止留联系方式，禁止任何商业交易。提示: 作者被禁止或删除内容自动屏蔽
	如何升级？如何获得积分？积分对应解释说明！
	回复举报

求助。。中了个叫HD_X.bat的蠕虫病毒

免费评分