跟防毒公司比賽--黑暗版的病毒警告

這幾天為了一個幾家防毒軟體大廠都還無法偵測的病毒(或是SpyWare?)搞得人仰馬翻。因為現成的防毒軟體到目前都還沒有解決方案，這裡就先提出我的觀察心得讓大家知道。不過，我並非病毒專家，以下只是個人見解，大家參考就好，不負任何保證責任。

【症狀】
           執行了有毒的檔案後，”我的電腦”或”檔案總管”(Explorer.exe)的動作會變慢，在某些機器上甚至系統會Hang住一段時間。之後你用檔案總管去開啟任何Folder(包含網路分享的Folder，這是它主要跨電腦傳播的管道)，如果其中有EXE檔或是DLL檔，就會受感染，改寫檔案，並在後方加上約26K的病毒碼。

進階說明: 被感染的EXE/DLL檔案，如果用UltraEdit去看二進位資料，會發現原本在第64個Byte起不久應該有一段Window程式專有的”This program cannot be run in DOS mode”訊息不見了，取而代之的是P(0x50) E(0x45)的NT Signature及程式碼。 例如: 正常的EXE程式 感染後的EXE程式

【行為分析】
n            受感染時，機器會變慢，並利用檔案總管傳播感染本機或遠端分享目錄的EXE/DLL。但現在的觀察，並不會全面性的主動掃瞄傳播。
n            可能有些背後的網路木馬動作，所以Outlook、MSN Messenger可能會不正常。(MSN出現超出每分鐘訊息數限制等怪訊息)
n            在一些機器上，只要重新登入，病毒就會喪失感染力。
n            重登後，某些機器則會在檔案總管按右鍵後再次具有感染力(我發現或許與WinZip32 Shell的右鍵選單DLL也被感染有關)。
n            有些機器則在感染及重開機後，一切動作變得很慢，導致電腦幾乎不能用，
n            最悲慘的狀況可能會導致OS無法開機登入。
(影響程度不同或許與受感染EXE、DLL的範圍有關係)

【偵測】
           監看了感染過程，我發現最簡單的檢測方法是開個DOS視窗，執行以下的指令:



           在正常的電腦上應該是找不到任何檔案的，若你發現一個43K的vCab.DLL檔，表示你現在登入的這個User中毒了，或曾中過毒。但沒發現並不代表整台電腦都OK，也許某些檔案已中毒了，或用這台電腦的其他User有中毒，都有可能。
           我寫了一個HTA程式可以代為執行以上的測試。但要再次強調，這個測試僅代表現在登入的User是否已被感染而已，不代表整台電腦都OK。


 
【解毒】
           目前尚無完善的解毒對策。我有用.NET 1.1 DIY了一個掃瞄EXE/DLL有無中毒徵兆的程式，但無法解毒，也還沒完整測試過，懷疑自己中毒的人再個別向我索取好了。