Skummel .exe fil som kopierer seg selv over på minnepenn.

[P-in-P]

Hei!

 

Vet ikke om jeg har postet helt rett her nå, men om dere vet om et bedre sted å legge tråden er det bare å rapportere det

 

Arbeider på en skole der det er veldig mange infisterte minnepinner;

 

Når en setter i en minnepenn så får en opp denne forespørselen;

 

Open folder to view files

med dette programmet på enheten

 

i tillegg til det, det egentlig skal stå stående rett under;

 

Åpne mappen og vis filene

med Windows Utforsker

 

-----------------------------

 

Viruset har da endret autorun på minnepennen til å kjøre den infiserte filen som default når den settes i.

 

Siden antivirusprogrammet vi bruker her tydligvis ikke tar knekken på dette her så hadde det vært fint å i allefall vite hva det er som blir kjørt på maskinene så en vet om en trenger å gjøre noe med problemet.

 

Så spørsmålet er: Hvordan kan jeg se hva denne .exe-filen gjør med maskina ? Går det ann å åpne denne filen på en enkel måte for redigering ? Går det ann å extracte den på en måte eller overvåke hva som blir gjort i det programmet kjøres ?

 

Håper det er noen som har svar på dette

[GeirGrusom]

Komer an på .exe fila, men vanligvis er det ingen enkel måte å se hva den gjør for noe.

 

Du kan kjøre den i en virtuell maskin og se hva som skjer, men det er fortsatt like vanskelig å finne ut av hva den faktisk gjør for noe.

[nomore]

Det er jo ikke direkte enkelt å se hva den gjør med filsystemet nei, men i et virtuelt miljø er det ikke umulig å følge med på litt av det som skjer.

 

Det eg anbefaler deg å sjekke er endringer i registerert, childprocesser den starter og filer den åpner, endrer, oppretter, sletter. Verktøy for dette kan du finne på denne linken: http://technet.microsoft.com/en-us/sysinternals/default.aspx

[snippsat]

Slå av autorun

Start->kjør->gpedit.msc

Administrative maler->system->Deaktivere autokjør

 

Gå hit virustotal og scann de filer du er i tvil om.

 

Har noe kommet inn som du er usikker på følger du Veiledningen, så tar vi derfra.

Endret 12. mai 2009 av SNIPPSAT