ドクロの意味は（´・ω・） ｶﾜｲｿｽ 山田ｦﾁｽﾚ 183

>>809
俺のはmswebdub.dllだった。
正規のシステムファイルに、mswebdvd.dllというのがあるのでそれをもじったものと考えられる。

面倒なので洒落を入手＆起動してみた。
なるほど、たぶん、☠ฺ　っていう感じの「文字」なん（´・ω・） ｽね。

確認してみたら、洒落のこのリストの部分↓
「 TShareListView.UnicodeClass 」という名前。まぁUnicodeは確定だろうから
少なくとも髑髏ウィルスは洒落をフックしてこのリストへ髑髏の参照文字を
送ってるってことでFA？だとしたら、髑髏本体に特定の文字列が入っている
と推測できるので、単純だけど簡易検知に使えるかも。

・・・なんて推測、どう思う（´・ω・） ｽ？

>>815-817
THX

>>818
そのファイルもう消しちゃった？

http://www.imgup.org/file/iup148218.jpg
http://www.imgup.org/file/iup148220.jpg
ドクロ（´・ω・）ｽ

わたしはdsdmopni.dllでしたよ

>>821 THX

前スレの>>666
> ファイル名は不定だけど、既存のDLL名＋数文字＋.dllのファイル名で作る（´・ω・）ｽ
> ファイルの中身は同じだけど、ファイル終端の空白数が異なるため、サイズ・ハッシュ
> ともすべて異なる（´・ω・）ｽ

・・・どうもマジでこれっぽい（´・ω・）ｽね。
だとすると、ちょい厄介かな。やっぱ洒落動作中にプロセスを追うしかないのか。。
ファイル名はそうとして、とりあえず、検体あれば、推測通りの特定文字があるか
分かるかも。で、そのチェックだけの鶴をとりあえず作る（という程ではないが）とか。

で、怪しいと思うファイルを感染者自身でその鶴にかけると判定される、って感じ（´・ω・）ｽ

>>819
まだあるよ。
うｐする？

>>823
是非！うｐ ｵﾅｶﾞｲｼﾏ（´・ω・）ｽ

>>820
手書きメッセージｽｺﾞ(´･ω･) ｽ

>>824
ttp://monoganac2.sakura.ne.jp/src/milktea8101.zip

passは「dokuro」

>>826
THX！いただきますた

>>827
いや、是非役立てて、情報提供お願いします。

>>828
ｶﾞﾝｶﾞｯﾃ見てま(´･ω･) ｽ
やはりファイルの終端は無駄な空白で埋められてる(´･ω･) ｽ
WS2_32.dllもImportしてるので、通信機能はありそうだし・・怪しい(´･ω･) ｽ

>>829
と言うかコレ半分以上NULLで埋められてる希ガ（´・ω・） ｽ
じゃぁどこに真犯人であるexeがいるのかって話しで（´・ω・） ｽﾖﾈ…


サービスでどっかを乗っ取ってdll読むように登録してる（´・ω・） ｽｶﾈ
こればっかりは自分も感染してデバッカ起動して追尾するしか手が無い（´・ω・） ｽ

>>830
> じゃぁどこに真犯人であるexeがいるのかって話しで

そうなん（´・ω・） ｽﾖﾈ
このDLL見ると、1000近くのfunctionがエクスポーツされてますので、

> どっかを乗っ取ってdll読むように

ほぼ間違いなくその通り（´・ω・） ｽﾈ
>>819で推測したような文字列はDLL内に無かった（´・ω・） ｽ
実行形式（たぶん.exe）の検体が欲しい（´・ω・） ｽ・・・

ドクロ未だ解明されずか・・・
exeがわからないのが一番の問題だな。

まとめると、
このサイズに1000もの関数を詰め込んでるはずもないので、
このdllは、たぶん洒落と正式なDLLたちの間に噛んで普通の
呼び出しには本物へのパイプ役だけでスルー。
悪戯（ウィルス行動）として必要な箇所の呼出しを乗っ取って
モニャモニャしてるんだと思われ。

ちなみにインポーツしてるのは、４つだった。
Kernel32.dll / USER32.dll /GDI32.dll / WS2_32.dll の４個だけ。

Kernel32とUSER32.dlｌは、まぁアレとして、GDI32.dｌｌでJPG作成、
WS2_32.dllで簡易httpサーバって感じかも知れない（´・ω・） ｽﾈ

とりあえず>>826でいただいた検体(dll)で今漏れに分かることは
このくらい（´・ω・） ｽ

>>803
ねこまると聞くと山梨のロリ法逮捕者第一号を思い出す（´・ω・） ｽ
まさか奴じゃ無いだろうな（´・ω・） ｽ

5年位前に自鯖立てて（当時はファイル共有ソフト無かった（´・ω・） ｽいや、ぐぬてらはあったのかな？）
ロリものやエロゲばら撒いてたから可能性は高い気がしてきた（´・ω・） ｽ
現在はほぼ間違いなくファイル共有ソフト使ってるはずなのでその名前には用心した方がいいかも（´・ω・） ｽ
俺はファイル共有ソフト一切使ってないんでその人がどういう人かは良くわからん（´・ω・） ｽｶﾞ

　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 ロ- 　ロ-ﾛ　　バッカヤロー
　　　　　　　　　　　　　　　　　　 もう朝ｽか？　（・ω（# ・ω・）　 まだ朝は始まっちゃいねぇｽ！
　　　　　　　　　　　　　　　　　　　　　 　　　　　　 __,,ゝ┼─┼====┐
　　　　　　　　　　　　　　　　　　　ｷｭﾗｷｭﾗ　　　 |　□|　　 .| |：|ヾ二二二二二(O
　　　　　　　　　　　　ｷｭﾗｷｭﾗ　　　　　 ＿＿＿_.|__,|_;||＿__,| |：|ノ-┬─┘
　　　　　　　　　　　　　　　　　　　　　　 |ミ/／/　　 ／　　　~~|ﾐ|丘百~((==_＿＿
　 　 ／／／／／／／／／／／／／└┼-┴─┴───┴──┐~~'''''-ゝ-┤
　　　　　　 ＿＿＿＿＿ .　　　　　　　（（◎）~~~O~~~~~O~~（◎））三）──）三）；
／／／／ ／／／／ ／ ／／／／／.ゝ(◎)(◎)(◎)(◎) (◎)ノ三ﾉ──ノ三ﾉ;*;∵
　　　　　￣￣￣￣∪

お前等って性格いいんだか悪いんだかわかんねーや…

>>800
あなたが読んだソースコードが配布されてるバイナリを生成するのに使われたか否かは確認した（´・ω・） ｽｶ？

***** おはよう駆除報告 *****
【発見場所】
C:\WINDOWS\system32\ipmontix.dll

【↑を使用、動作（SS）するプログラム】
Share.exe&Winny.exe

【書き換え＆上以外で関連付けされてた物】
C:\WINDOWS\PowerS.exe
C:\WINDOWS\system32\RAMASST.exe
C:\Program Files\ELECOM\WheelUtility2\ELEMOUSE.EXE
***.bakで元のexeが保存されてた（´・ω・）ｽ

Norton、ウィルスバスター、山田チェッカー等すべてスルー（´・ω・）ｽ
>>30の方法で解決（´・ω・）ｽ

>>839

おっつううううううううううううううう

　　　　　 ,r=ヽ、　　　　　　　　　　　　r';;;:;:;;:::;;;;;;;;;;;;ヽ、
　　　　　j｡ ｡ﾞLﾞi　　　　 rﾆ二`ヽ.　　　Y",,..、ｰt;;;;;;;;;;;）
　r-=、　l≦ ﾉ6)＿　　　l_,.､ヾ;r､ﾞt　　 lｦ '・=　 ）rテ-┴- ､
　｀ﾞゝヽ、`ｰ!　ﾉ::::::｀ヽ､ L､ﾟﾞ　tﾉ`ｿﾞ`ｰ ﾞiｰ'　 ,r"彡彡三ﾐミ｀ヽ
　　にｰ `ヾヽ'":::::::::::: ｨ"^ﾞiﾌ　 _,,ﾉ　,　　ﾞtﾌ　ﾞゞ''"´　　 ﾞifrﾐソﾍ,
　,.、　｀~iヽ､. ｀~`''"´　ﾞt　（,,￣,　frﾉ　　 ゝ-‐,i ,,.,...、　 ヾミく::::::l
　ゝヽ、__l::::ヽ｀iー- '''"´ﾞi,　ヽ　ヽ,/　　　/　　lｦ ｪ｡､　　 〉:,r-､::ﾘ
　W..,,」:::::::::,->ヽi''"´::::ノ-ゝ ヽ､_ﾉｰ‐ﾃ-/　i　/ ,, 、　　 '"fっ)ﾉ::l
　　￣r＝=ミ__ｨ'{-‐ﾆ二...,-ゝ、'″ ／,/｀ヽl : :`i- ､ヽ　　,.:ﾞ''" )'^`''ｰ- :、
　　　 lﾐ､　　／ f´　 r''/'´ミ)ゝ^),ノ>''"　 ,:ｲ`i /i､ヲﾞi　.:" ,,.　/;;;;;;;;;;;;;;;;;;;｀ﾞ
　　　 !　ヾ .il　　l　　l;;;ﾄ､つノ,ノ ／　　 ／:ﾄ-"ﾉﾞi　　,,.:ｨ'"　/;;;;;;;;;;;;;;;;;;;;;;;;;
.　 　 l　　　ハ.　l　　l;;;;i _,,.:イ　/　　 ／ 　,ﾚ''";;;;｀ﾞﾞ" ヽ_,,ノ;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
　　 人 ヾﾆﾞi　ヽ.l　 yt,;ヽ　 ﾞv'′ ,:ｨ"　　/;;;;;;;;;;;;;;r-'"´｀i,;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
　 r'"::::ゝ､_ﾉ　　ﾞi_,/　 l ヽ　　ﾞ':く´　_,,.〃_;;;;;;;;;;;;f´' 　 　 ll;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
　 ｀￣´　　　　 ／　　l　 ヽ　　　ヾ"／　 ｀ﾞ''ーハ.　　 　 l;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;
　　　　　　　 ／　　　 l　　ﾞt　　　 `'　　　　 ／^t;＼　　,,.ゝ;;;;;;;;;;;;;;;i;;;;;;;;;;;;

>>839
乙。
>>826のdllを削除したら、使えないプログラムがあった。
Logicoolマウスのソフトだった。
これは、アンインストールしてまた入れたら直った。
で、もう一度みてみたら、KEM.exe.bakが入っていた。

あと、「exe.bak」で検索した結果。
「WinRAR.exe.bak」
「Rar.exe.bak」
の二つを見つけた。

>>841
「WinRAR.exe.bak」
「Rar.exe.bak」
があるということは、WinRARをクラックして使っているということか。

>>753
うわｗｗ今知った(´･ω･) ｶﾜｲｿｽｗｗｗｗｗ

そういえば、今思うと、マウスの挙動がおかしい時がたまにあったかも。
スグ直るし、あんまり気にしてなかったけど。

WinRARは試用期間過ぎても解凍だけはできる（´・ω・）ｽ

WinRARは再インストールすればダイアログが消える（´･ω･） ｽ

この間髑髏を検索画面で見つけてあせった。
へまやったかなーと思って色々やったけど晒されてる気配なし。
もしかして誰か先頭に髑髏付けたファイル流してない？
確かジャンプのなんかのファイルだった気がしたけど

ああ、ちなみにそれ以来、shareで髑髏は見かけてない
ちょっと亜種だったらって考えてｶﾞｸﾌﾞﾙ

おしおきだべー(´･ω･) ｽ

　　　　　　　　　　 おしおきだべー
　　　　　　　　　　　 _ .. _
　　　　　　　　　 ／　　　 ＼
　　　　　　　　／, '⌒ l.r‐-､.`､
　　　　　　　/　（　　 八　　 ） ヽ
　　　　　　 （　　　ｰ-'　 `ｰ-'　 ﾉ
　　　　　　　　ｰ┐　(_八_)┌-'　　　
　　　　　　　　 　 `ｰ┐┌┘
　　　　　　　-======'　,=====-
　　　　　　　　 -===='　,=====-
　　　　　　　　　　-=='　,==-
＿＿＿＿＿＿ ,r-‐┘└-‐､＿＿＿＿＿＿＿

（´・ω・） ｽ

2ヶ月振りに来てみた。
髑髏(´・ω・) ｽｶ

早く解析されますように・・・

>>847
>>238（´・ω・） ｽｶﾈ?

日本国またはアメリカ合衆国、もしくはその両方の著作権法に触れる内容であると疑われることから表示できません。

最近、略す時に(ryを(nyって打ってた(´･ω･) ｽ

ケアレスミ(´･ω･) ｽ
△ぐらいほしい(´･ω･) ｽ

>>851
既に髑髏の解析を進めて対策を確立していても
このスレには書き込まない方が良いと判断して
沈黙を守ってる層が確実に存在する（´・ω・） ｽ

たとえば天才の俺（´・ω・） ｽ

>>854
名前を書けてないので0点。

>>838
確認した（´・ω・） ｽ

>>841
そのdllはどこに入ってた（´・ω・） ｽｶ？Windows\System32とか？
セーフモードで削除した（´・ω・） ｽｶ？それとも普通にできた？

>>855
確かにそんな気がしてきた（´・ω・） ｽ
>>30を見ると、感染症状はssとキャッシュクリアだけみたいだし。
PC内のファイルを勝手にUp設定にするわけじゃないってこと（´・ω・） ｽﾈ
あと怖いとしたら、洒落中に自身がhttp鯖になるからPC内を覗かれること。

・・・つまり感染しちゃった香具師は、洒落さえ止めれば症状は出ない？
だとしたら・・うぅむ。作者の熱意が感じられてきた（´・ω・） ｽ

ttp://www.uploda.org/file/uporg288421.jpg

（´-ω-） ｶﾜｲｿｽ

>>858
ブログどこにある（´・ω・） ｽｶ?

>>858
ただメッセッセンジャーやチャット知り合い巻き込まなくもなくない？
身元が解る物だけでなく、クレカ番号や証券番号まであるし。
考え様によっちゃどこかのメーカーから賠償請求きた方が↑使われるより安上がりかも…

洒落さえ止めれば症状は出ないかもしれないが、前科持ち扱い？
単体で潜伏ならまだしも、他のプログラム書き換えて共存してる（´・ω・） ｽ

違うアプリ起動でSSをうｐし出した日ゃ（´・ω・） ｶﾜｲｿｽ

消してもnyとIE立ち上げてると時々シャッター音聞こえてる俺って　あぼ〜ん！

>>860
確か、ホリエモンブログ/hpg/だったと思う。

>>860
|ω･）つttp://blog.livedoor.jp/hpg/

>>861
> 洒落さえ止めれば症状は出ないかもしれないが、前科持ち扱い？

ここでP2Pツールの違法性云々を論議するつもりは無い（´・ω・） ｽ
ただ髑髏作者は、そういうつもりで作ったのだろうと意図が汲み取れる、
という感想だけなん（´・ω・） ｽ

P2Pという仕組み自体がグレーゾーンを大きくしているのは事実だろうけど、
清く正しく利用している人も、ごく少数派だけど居ると思う（´・ω・） ｽ
なので利用者全体を巻き添えにする可能性の有るニュイルスはテロ行為に近い
とも思う（´・ω・） ｽ　もちろん髑髏もそう（´・ω・） ｽ

でも洒落などのP2Pも自己責任であることは確か。
なので、発見鶴や診断・駆除鶴で、自己防衛するしか無いとも考えてる（´・ω・） ｽ

>>860
ココでURL書くと怒られる（´・ω・） ｽ　>>862さんが正解（´・ω・） ｽ

>>862
>>863
>>864
トンク（´・ω・） ｽ

http://tmp5.2ch.net/test/read.cgi/download/1136608808/809

809 名前：[名無し]さん(bin+cue).rar[sage] 投稿日：2006/01/17(火) 16:43:34 ID:hsWQ2lyWO
ハゲじゃねえし、お前がうずらハゲだろデブヅラ
まだ？二十四時間いるつってんだろ太面、文字よめねえか
飽きるってなんだデブヅラ
俺のスレだからいるのが当たり前だし、家で飽きるとかいう定義はねえだろハゲ

>>5