邪恶病毒篡改文档留言邹小朋爱邹琪力量

浏阳历史网 2021-05-26 21:51:58

近期，有一种恶意篡改DOC的病毒。此类病毒会篡改用户电脑后缀名为doc的word文档的DOC头，同时隐藏原始doc文件，并且创建一个同名的exe来启动被篡改以后的doc文档。这个exe会在内存中修复doc头，因此使用这个exe文件加载的doc文档可以正常显示内容。

一旦病毒体被安全软件查杀，此时用户打开doc文档会发现是乱码，当然可以正常显示出来的内容是邹小朋爱邹琪看上去像是一个男人喜欢一个女人的样子。

安全专家拿到病毒样本，进行了深入解析，这个病毒样本是一个名为增电源标识c的word文档。

这可能正是其抢占车联入口的重要一步。 1、病毒简介

使用word打开增电源标识c文档，显示的是乱码，只有使用增电源标识e打开才能正常显示内容。

(1)增电源标识e

doc文档加载器，图标是doc的默认图标，会释放灰鸽子等其他病毒木马。

(2)增电源标识c

被恶意篡改过的doc文档，用户机子上应该是被隐藏，需要显示隐藏文件才能查看到。

2、增电源标识e doc文档相关的行为

(1)获取doc文档的完整路径并且以可写的方式打开，比如C:增电源标识c。

(2)将正确的DOC的头数据D0CF11E0A1B11AE写入到C:增电源标识c中(内存中的doc文件，硬盘里面的数据没有被修改的)。

(3)调用ShellExecuteA打开当前的doc文档

3、使用16进制工具c32asm修复被篡改的doc文档(其他的16进制工具也可以)。

(1)用c32asm打开被篡改的doc文档，选择doc文档的前12个字节的数据，复制引号内的数据D0CF11E0A1B11AE替换原先的数据：选择-特殊粘帖-ACSSII Hex。

(2)修复后的文档，貌似应该正常吧。