pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
（1）创建互斥体，防止多次运行，关闭Windows安全中心服务。
（2）隐式执行cmd.exe,查找控制台窗口是否存在，若找到，继续执行，否则直接退出。
（3）获得进程快照，查找杀毒软件相关进程，若找到进程360tray.exe、safeboxtray.exe、avp.exe，释放动态链接库%TEMP%\~3.t，,并调用rundll32.exe加载，通过安装服务的方式，将其相关服务和进程终止，通过创建注册表对avp.exe作映像劫持，之后释放文件%TEMP%\~15.tmp、%TEMP%\~16.tmp（文件名随机生成）。
（4）执行~15.tmp,判断自身是否为userinit.exe,若是，执行Explorer.exe。创建线程,获得进程快照,查找进程qq.exe是否存在，若找到，统计感染机器的系统相关信息，发送到指定网址;若没找到qq.exe，则继续查找是否有进程cmd.exe,如果找到，将其进程终止。
（5）从目标网址下载大量病毒到本地%TEMP%目录下，并执行。
（6）读取目标网址数据，将其下载并替换文件%SystemRoot%\System32\dirvers\etc\hosts。
（7）统计感染机器的网络信息，发送到指定网址。
（8）从目标网址下载病毒更新程序到%TEMP%目录，执行后更新病毒自身。
（9）提升自身权限，创建名为"zx"的服务，加载驱动~16.tmp并启动，将病毒代码写入%SystemRoot%\System32\userinit.exe,感染userinit.exe,实现病毒自启动。
（10）设置下次系统重启删除文件~16.tmp和病毒自身。
病毒创建文件：
%TEMP%\~3.t
%TEMP%\~16.tmp
%TEMP%\~15.tmp
病毒修改文件：
%SystemRoot%\System32\userinit.exe
病毒删除文件：
%TEMP%\~16.tmp
病毒创建注册表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ccddc
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\zx
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp
病毒删除注册表：
HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CurVer\[默认]
HKEY_CLASSES_ROOT\Microsoft.XMLHTTP\CLSID\[默认]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ccddc
病毒访问网络：
http://www1.fdc***8.cn/c2/getmac.asp
http://www1.fdc***8.cn/w1/getmac.asp
http://txt.i***k.com/xx.txt
http://txt.i***k.com/ad.txt
http://d.n***s.com/xx.exe
http://1.y***s.com
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
