感染Win32.Agent.??之修复代码
某的机器，前几日意外染毒，由于这几日在试用ZoneAlarm，对机器表现把握不准，连什么时候中毒都不知道。。。（在此先深切怀念一下我用了七年多的PFW，可怜了我抠抠索索出钱买的正版序列号:( 现在搞得有正版序列号还得用试用版T_T）。
直到突然发现机器表现有一些异常了，一刷autoruns，Image Hijacks一大堆！果然中毒了！
我对中毒过敏，立刻还原系统。还原后，新装个驱动，再刷autoruns，啊！又来了！
分区根目录下并没有autoruns.inf之类的触发。难道是感染型病毒？！
我在每个分区下都放了一个小EXE，当蜜罐使。结果一看，原本4.5K的变30.5K了，果然是感染了。可是我的驱动是压缩包里的啊，这*毒，连压缩包也不放过！！
完蛋完蛋，我长时间来收集一些软件啊程序啊啥的，看来要废了，我要撞墙了！！
不甘心啊不甘心。
那就看看有没有专杀吧，给个样本让别人用杀软看看是什么毒，结果查出来叫Win32.Agent.??（后面叫什么，忘记了），上网查有没有专杀工具，结果都没有。全是要装杀软。俺与杀软有不共戴天之仇
，如何也不会装。而且杀软那些技俩俺也领教过，但凡感染的文件，一律做删除处理，根本不会恢复它。
看来，得自己动手试试。
看看这个感染复不复杂吧？原PE与感染PE一对比，加之早早分析了一下，发现如下几点：
1.新加一个节区，名字是.tc。
2.PE入口被修改，指向新加节区头。
3.区段数目+1，映像大小修改，代码块大小修改
仅这些特征，看来有恢复的希望。
于是有了之后的修复代码。其实修复手段很简单了，就是把感染过程反着做就行了嘛。
不过代码里有加了压缩包的处理（加解压我并不熟悉，全是临时学习WinRAR命令行的处理。测试的过程中，可能是系统设置问题，发现解压恢复后，空文件夹无法删除。不过无伤大雅了）
这里先给一下被感染PE的入口情况：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
