一次莫名其妙的中毒过程

引言

不知咋地，这几天在机房插过网线，拷过几个文件，其他的就不记得了。然而，昨天下午火绒突然报警，说sys.exe可疑，然后就删除，删了又回来了，再删，又回来，气到了，杀毒。导致没法做项目。火绒杀毒贼慢，好吧，上qq，整个机子卡住。，快杀加全杀，杀完，清新了，就把tx管家卸了（不喜欢他的占内存）。
今天早上10点，又报毒，而且事态更加严重，烽火狼烟，火绒不断报警。gg，气到了，本来想火绒杀的，算了，为了快（硬盘数据>400G），上腾讯，先快杀，再全杀。然后上360，全杀。360确实杀出了写漏网之鱼。事后，自己看着杀毒报告，再回去看剩下的几个脚本，略作分析。

for语句的基本结构：

image.png

实例：

image.png

image.png

image.png

for –f 会循环读取每一行 %%i就是那一行

image.png

字符分割：delims

"delims=符号列表" 的开关，每行字符串都会被符号列表中罗列出来的符号切分开来。
如果没有指定"delims=符号列表"这个开关，那么，for /f 语句默认以空格键或跳格键作为分隔符号。

image.png

image.png

定点提取：tokens=3,4,5

image.png

提取多行：

image.png

提取第一个用i，第二个j ，第三个就是k，依次下去

tokens=1,2,3,4,5
tokens=1-5
tokens=1-3,4,5

间用短横连接起来即可，比如 tokens=1,2,3,4,5 可以简写为 tokens=1-5 。
还可以把这个表达式写得更复杂一点：tokens=1,2-5，tokens=1-3,4,5，tokens=1-4,5……怎么方便就怎么写吧。

image.png

切1,3-4,剩下的不切，全部归入*

跳过前面n行：skip

image.png

忽略指定字符开头的行：eol

image.png

::在cmd窗口中，for之后的形式变量I必须使用单百分号引用，即%i；而在批处理文件中，引用形式变量i必须使用双百分号，即%%i。
::/d表示目录搜索,不会搜索文件，不会进入下一级

各种for /f

加了usebackq 可以容许空格

image.png

然后开始解读病毒小脚本s.bat

image.png

第一行删除445.txt文件。估计是在组织信息的时候的缓存。
第二行暂且不论，

第三行：

遍历result.txt，eol=-过滤掉以-开头的行,delims=‘ ’按照空格分割,tokens=1,得到第一个切分段。

重定向输出到s1.txt
按此分析
3.4.5就是在将信息格式化提取到新的文件。

6.7.8就是删除文件

那么，可以得到，
1行执行前存在：445.txt

3行执行前至少有： result.txt,s1.txt,s2.txt;
执行后存在：445.txt, com.dll

剖析s.exe
接下来就是剖析s.exe干了什么,然并卵，s.exe被删除了

剖析开机小程序：TIME.2.bat

image.png

@echo off是屏蔽执行语句的输出

1. ping –n 2 127.0.0.1>nul是ping测试本地网卡网络协议是否正常，不正常则输出错误

2. taskkill 终止rundllhost.exe：什么意思呢？这哥们好像也是被杀掉了。

3. schtasks /run 运行 /tn指定唯一识别这个计划任务的名称，伪装为google…

4. @sc stop Natihial停止natihial：没记错的也是被杀了，他自己也删除了

5. @sc delete Natihial 删除服务，这是病毒?

6. Wmic 如果当前存在进程name=cmd.exe 并且执行路径是…的，call Terminate，也就是结束进程。这里明显说明cmd被伪装了，ca

7. 结束脚本，好吧

taskkill 解释

/f 强制
/t 顺便把所有子进程都终止
/im 指定映像名字

image.png

image.png

schtasks详解

image.png

小例子

1. 创建计划任务 "gaming"，每天从 12:00 点开始到14:00 点自动结束，运行 freecell.exe。

   SCHTASKS /Create /SC DAILY /TN gaming /TR c:\freecell /ST 12:00
            /ET 14:00 /K
   

schtasks /create /tn Mytask /tr notepad.exe /sc hourly /ru zly /rp windows

/sc
/TR taskrun 指定在这个计划时间运行的程序的路径

/ru {[Domain]User |System}
使用指定用户帐户的权限运行任务。默认情况下，使用本地计算机当前用户的权限，或者使用 /u 参数指定用户的权限（如果包含的话）运行任务。在本地或远程计算机上计划任务时，/ru 参数才有效。

/st StartTime
/et EndTime

/du Duration
指定“分钟”或“小时”计划的最大时间长度，格式为 HHHH:MM 24 小时格式。指定的时间过去之后，Schtasks 不重新启动任务，
/k
在 /et 或 /du 指定的时间停止任务运行的程序。如果没有 /k，Schtasks 在到达/et 或 /du 指定的时间之后不再启动程序，但它不会停止仍在运行的程序。该参数是可选的，并且仅对“分钟”或“小时”计划有效。 要查看示例，请参阅：

wmic详解

WMIC扩展WMI（Windows Management Instrumentation，Windows管理工具），提供了从命令行接口和批命令脚本执行系统管理的支持。

dll分析

保存下一个dll，

image.png

查询一番，感觉是花指令的问题

这边尝试了几个查壳工具，反编译工具，不过效果不是很好，好吧，我就是纯粹玩玩。

好像又不是，查询后发现是vc++6.0写的，无语

反编译：

image.png

看不懂，好吧，到此为止。

各大杀毒引擎的效果

找其中的一个病毒，回过头去看看各大杀毒引擎的效果：
病毒：

杀毒查询：http://r.virscan.org/report/b92318be518d7ac812ffda2d50bea50b

image.png

image.png

tx的杀毒报告：

image.png

心疼我的电脑...!