注册
登录
| 关键词： SystemRoot system 病毒 文件 drivers 库文件 CurrentControlSe 进程 通常 SystemDriver |
病毒症状： 该样本是使用“Delphi”编写的AV杀手木马，“upx”加壳，长度为“33,280”，病毒扩展名为“exe”，主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播，病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。 用户中毒后，会出现计算机及网络运行缓慢，安全软件无故关闭，各类软件、Windows无故报错，自动打开恶意网站，发现大量未知进程等现象。 感染对象： Windows 2000/Windows XP/Windows 2003 传播途径： 网页木马、文件捆绑。 病毒分析： （1）创建互斥体“bboy” 防止二次运行； （2）设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制； （3）禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程； （4）释放动态库文件%SystemRoot%\system32\killkb.dll，遍历进程，查找RavMonD.exe进程，没有发现，加载动态库文件，如果发现进程，不加载动态库文件； （5）动态库文件会释放驱动文件，创建服务启动驱动，结束大部分安全软件进程，重命名驱动文件为OLD16.tmp； （6）释放%SystemDriver%\WINDOWSaboy.Dll并且加载； （7）释放%SystemRoot%\system32\drivers\pcidump.sys，创建pcidump服务启动，删除驱动文件； （8）打开puid服务，如果成功，删除服务，删除文件%SystemRoot%\system32\drivers\puid.sys； （9）修改HOSTS文件，屏蔽大量网站； （10）从指定网站下载病毒，并运行。 病毒创建注册表： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump 病毒创建文件： %SystemRoot%\system32\killkb.dll %SystemRoot%\system32\drivers\acpiec.Sys %SystemDriver%\WINDOWSaboy.Dll %SystemRoot%\system32\drivers\pcidump.Sys %SystemRoot%\system32\drivers\OLD16.tmp 病毒访问网络： http://www.r**8d.cn/out.txt 手动解决办法： 手动删除以下文件： %SystemRoot%\system32\killkb.dll %SystemDriver%\WINDOWSaboy.Dll %SystemRoot%\system32\drivers\pcidump.Sys %SystemRoot%\system32\drivers\OLD16.tmp 手动删除以下注册表值： 键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA 键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump 变量声明： %SystemDriver% 系统所在分区,通常为“C:\” %SystemRoot% WINDODWS所在目录,通常为“C:\Windows” %Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings” %Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp” %ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles” |
|
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系
[邮箱地址] 删除
|
