 |
|
Модераторы: Poseidon, Snowy, bems, MetalFan |
 
|
|
Как избавиться от перехвата ф-ций АПИ 
| Romikgy |
|
|||
 Любитель-программер  Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
Если я не туда запостил , извеняйте , вроде такой вообще нет ветки, хотя могу и ошибаться
 Смысл такой , вирус завелся, перехватывает 3 ф-ции апи FindFirstFile, Module32First, RegEnumValue, сам он сделан в dll , как мне программно (самому написать) или другим ПО, избавится от этой dll ? Тоесть убрать ее из запуска, вирус (хотя возможно это трой) этот ничем не видится  кроме проги AVZ -------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности.  |
|||
|
||||
Загрузка ...
| Quadr0 |
|
|||
|
Unregistered |
...
Это сообщение отредактировал(а) Quadr0 - 15.7.2011, 11:59 |
|||
|
||||
| Yanis |
|
|||
 Эксперт Профиль Группа: Участник Клуба Сообщений: 2937 Регистрация: 9.2.2004 Где: Москва Репутация: 72 Всего: 111 |
Потому что это крутая прога  Там на закладке параметры поиска есть опции "Блокировать работу RootKit User-Mode" и "Блокировать работу RootKit Kernel-Mode". Попробуй их включить. AVZ сразу заволнуется, что типа это вредно для системы... Не обращай внимания, просто потребуется перезагрузка на всякий случай. Возможно после поиска перехват функций вирём деактивируются. А ещё поставь себе ProcessXP Руссиновича и посмотри кто подгружает эту dll. Добавлено @ 11:39 А самое простое это отнести винт к другу и удалить эту либу от него. Конечно, если винт не в RAID'е стоят как в моём случае --------------------  *щёлк* |
|||
|
||||
| Romikgy |
|
|||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
Ща попробуем
-------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
|||
|
||||
| Yanis |
|
|||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 2937 Регистрация: 9.2.2004 Где: Москва Репутация: 72 Всего: 111 |
Ещё может помочь включение AVZGuard перед сканированием.... Надо пробовать.
-------------------- *щёлк* |
|||
|
||||
| Teran |
|
|||
 Опытный Профиль Группа: Участник Сообщений: 590 Регистрация: 9.9.2005 Где: Украина, Запорожь е Репутация: нет Всего: 3 |
ищи в эту "злую" dll подключенную к процессам и отсоединяй ее от просессов тогда hook исчезнет -------------------- Ни цего не понимаю |
|||
|
||||
| Romikgy |
|
||||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
Teran, ты читал мой первый пост?
ниочем не говорит?
этого не нашел но если запускаю с драйвером и обращаюсь к реестру , авз просто закрывает и все -------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
||||
|
|||||
| Yanis |
|
|||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 2937 Регистрация: 9.2.2004 Где: Москва Репутация: 72 Всего: 111 |
Romikgy
А это пробовал? -------------------- *щёлк* |
|||
|
||||
| Romikgy |
|
|||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
нет ща поищу его
Добавлено @ 15:04 чет найти не могу, да и вроде этож для ХР , а у мя на машине 2000 стоит -------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
|||
|
||||
| BUGOR |
|
|||
|
Опытный Профиль Группа: Участник Сообщений: 325 Регистрация: 12.3.2006 Репутация: 5 Всего: 16 |
Если апи перехватываются в режиме пользователя, то на 99% это сплайсинг(ну или исправление экспорта, что вряд ли), т.е. замена первых пяти байт вначале этих функций на прыжок. Так, что просто определи адреса этих функций в памяти процесса и проверь равен ли первый байт 55h, если равен, то это не сплайсинг
 Тогда надо чекать значение в таблице экспорта, но это уже гемор... |
|||
|
||||
| dumb |
|
|||
 sceloglauxalbifacies Профиль Группа: Экс. модератор Сообщений: 2929 Регистрация: 16.6.2006 Репутация: 13 Всего: 158 |
большинство экспортируемых системой функций начинаются с сигнатуры 8b,ff - mov edi,edi. push ebp потом идет. Добавлено @ 15:53 не во всех системах, естественно. вроде как с SP2 пошла такая пьянка - вставлять 5 экстра-нопов перед функциями и эту "пустышку". видать будут делать фиксы на лету - call/jmp xx;jmp $-7; |
|||
|
||||
| Romikgy |
|
||||||||||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
BUGOR, вот что АВЗ сказал
и вот
но от корнел мода , я уже избавилься , остался юзер мод Добавлено @ 16:24
а что это ? и это
что? говорит еще вот что
-------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
||||||||||
|
|||||||||||
| Yanis |
|
||||
|
Эксперт Профиль Группа: Участник Клуба Сообщений: 2937 Регистрация: 9.2.2004 Где: Москва Репутация: 72 Всего: 111 |
Вот это, что за файл? Проверь его вот на этом сайте http://www.virustotal.com/en/indexf.html Там используются все известные антивирусы.
Это метод перехвата в режиме пользователя API функций. -------------------- *щёлк* |
||||
|
|||||
| Romikgy |
|
|||
|
Любитель-программер Профиль Группа: Участник Клуба Сообщений: 7326 Регистрация: 11.5.2005 Где: Porto Franco Odes sa Репутация: 26 Всего: 146 |
с удавольствием его бы проверил да его на винте найти не могу, имхо это и есть троян/вирус, и себя же прячет -------------------- Владение русской орфографией это как владение кунг-фу — истинные мастера не применяют его без надобности. |
|||
|
||||
| Alexeis |
|
|||
 Амеба  Профиль Группа: Админ Сообщений: 11743 Регистрация: 12.10.2005 Где: Зеленоград Репутация: 109 Всего: 459 |
Romikgy, А если снять с него (msvcrt64.dll) дамп и проверить его?
-------------------- Vit вечная память. Обсуждение действий администрации форума производятся только в этом форуме гениальность идеи состоит в том, что ее невозможно придумать |
|||
|
||||
|
|
| Правила форума "Delphi: Общие вопросы" | |
|
|
Запрещается! 1. Публиковать ссылки на вскрытые компоненты 2. Обсуждать взлом компонентов и делиться вскрытыми компонентами
Если Вам понравилась атмосфера форума, заходите к нам чаще! С уважением, Snowy, MetalFan, bems, Poseidon, Rrader. |
| 0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей) | |
| 0 Пользователей: | |
| « Предыдущая тема | Delphi: Общие вопросы | Следующая тема » |
[ Время генерации скрипта: 0.0867 ] [ Использовано запросов: 22 ] [ GZIP включён ]
Реклама на сайте Информационное спонсорство
|
|
По вопросам размещения рекламы пишите на vladimir(sobaka)vingrad.ru
Отказ от ответственности Powered by Invision Power Board(R) 1.3 © 2003 IPS, Inc. |