萬盛學電腦網

 萬盛學電腦網 >> 病毒防治 >> 用WinRAR解析木馬病毒的捆綁原理

用WinRAR解析木馬病毒的捆綁原理

今天朋友突然想我求救,說網絡游戲傳奇世界的號被盜了,由於朋友是在家上網,排除了在公共場所帳號和密碼被別他人瞟視的可能。據朋友所說,在被盜的前一個多小時,在網上下載了一個網友的照片,並打開浏覽了,但是出現的確實是網友的照片,並且是用"Windows 圖片和傳真查看器"(朋友家是XP系統)打開的,這也可以肯定一定是圖片文件。朋友還告訴筆者後綴名是.gif,很顯然是圖片文件,朋友的電腦也沒有安裝殺毒軟件,並且最重要的是那個文件還沒有刪。今天朋友突然想我求救,說網絡游戲傳奇世界的號被盜了,由於朋友是在家上網,排除了在公共場所帳號和密碼被別他人瞟視的可能。據朋友所說,在被盜的前一個多小時,在網上下載了一個網友的照片,並打開浏覽了,但是出現的確實是網友的照片,並且是用"Windows 圖片和傳真查看器"(朋友家是XP系統)打開的,這也可以肯定一定是圖片文件。朋友還告訴筆者後綴名是.gif,很顯然是圖片文件,朋友的電腦也沒有安裝殺毒軟件,並且最重要的是那個文件還沒有刪。

筆者便讓朋友把那個文件通過QQ發了過來,發送的時候筆者在QQ顯示文件名中發現了那個文件並不是gif文件,而是exe文件,文件名是:我的照片.gif.exe,並且它的圖標也是圖片文件的圖標,見圖1。筆者認為朋友的電腦應該打開了"隱藏已知文件類型的擴展名"(大家可以在"我的電腦"菜單中"工具→文件夾選項→查看→高級設置"中設置,見圖2,所以告訴我後綴名是gif。筆者無意中右點了下這個文件,發現可以用"WinRAR打開",於是筆者就用WinRAR打開了,發現裡面含有兩個文件——我的照片.gif和server.exe,可以肯定這server.exe就是木馬,也就是朋友盜傳奇世界號的罪魁禍首。

由於可以直接用WinRAR打開,筆者斷定它就是由WinRAR制作的,現在筆者就開始解密它的制作過程。首先要有圖片文件的ico(圖標)文件(可以使用其他軟件提取,筆者就不在這裡講述詳細過程了),如圖3。把圖片文件和木馬都選定,右點,選擇"添加到檔案文件"(WinRAR的選項),見圖4,在"檔案文件名"那輸入壓縮後的文件名,比如:我的照片.gif.exe,後綴如果為.exe就可以直接執行,如果不是.rar就會打開WinRAR,所以這裡最後的後綴為.exe,根據自己的需要選擇"壓縮方式",然後點擊"高級"標簽,選擇"SFX 選項",見圖5,在"釋放路徑"中填入你需要解壓的路徑,筆者這裡填的是"%systemroot%temp"(不包括引號),表示解壓縮到系統安裝目錄下的temp(臨時文件)文件夾下,並且在"安裝程序"的"釋放後運行"輸入"server.exe"(不包括引號),在"釋放前運行"輸入"我的照片.gif"(不包括引號)。

這樣在解壓縮前將會打開我的照片.gif這個文件,造成朋友對文件判斷的假象,會認為它就是一個圖片文件,而釋放完以後便會自動運行木馬(即server.exe)。在"模式"標簽的"緘默模式"中選擇"全部隱藏","覆蓋方式"中選擇"覆蓋所有文件",在"文字和圖標"標簽的"自定義SFX圖標",載入剛才所准備的圖片文件的ico文件,然後點擊"確定"即可,這樣即天衣無縫的制作了一個捆綁圖片的木馬。當打開這個文件時,會先運行圖片文件,再自動打開木馬文件,中間不會出現任何提示。

注:希望廣大朋友不要進行非法用途,在這裡解密木馬捆綁是希望大家了解其原理。

copyright © 萬盛學電腦網 all rights reserved