pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析:
1.病毒运行后，释放病毒文件%SystemRoot%\system32\winner.ime,并修改其创建时间，设置为系统隐藏属性。
2.加载运行winner.ime，创建进程快照，查找以下进程kavstart.EXE、kav32.exe、Mctray.exe、Rtvscan.exe、mcshield.exe。如果找到则打开该进程，获取退出代码退出该进程。
3.加载系统库文件获取相关函数，将winner.ime作为输入法文件安装在本地机器上。获取并激活键盘布局，建立注册表项HKEY_CURRENT_USER\Keyboard Layout\Preload记录信息。更改用户默认的输入法为新安装的输入法。使用户使用输入法时便会加载病毒文件运行。启动进程explorer.exe并激活输入法运行病毒。
4.检查自身所在的模块如果注入安全软件中则退出自身。
5.如果自身在explorer.exe中运行则创建线程执行相关功能。释放病毒文件到%SystemRoot%\system\pciaz.sys.打开服务管理器，创建名为pcif的服务加载运行该驱动文件提升自身权限，遍历进程查找以下进程“360tray.exe”，“ekrn.exe”，“egui.exe”，“nod32krn.exe”，“nod32kui.exe”，“360safe.exe”，“safeboxTray.exe”,“360safebox.exe”，“krnl360svc.exe”，“ZhuDongFangYu.exe”，“rstray.exe”，“ravmond.exe”，“360sd.exe”，“avp.exe”，“360rp.exe”，“kavstart.exe”，“kwatch.exe”,“kswebshield.exe”，“Mcshield.exe” 如果发现则传入驱动关闭安全软件进程，并试图从注册表读取安全软件安装路径，并传入驱动，破坏安全软件文件，成功后删除驱动文件。
6.创建线程创建线程，监视窗口名字，如果发现是IceSword则关闭该程序。创建线程循环向注册表写入数据劫持大量安全软件进程。创建线程，病毒运行一段时间后从指定网址下载包含病毒文件地址的加密配置文件到%SystemRoot%\Fonts\nhr.ini，并解密出该文件中的网址信息，从该指定网址下载大量未知病毒木马运行。
病毒创建文件：
%SystemRoot%\system32\winner.ime
%SystemRoot%\system\pciaz.sys
%SystemRoot%\Fonts\nhr.ini
病毒创建注册表：
HKEY_CURRENT_USER\Keyboard Layout\Preload
病毒访问网络:
http://s.dba**.com/s.txt
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
