pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
（1）首先将自身设置为系统隐藏属性，隐藏方式打开记事本notepad.Exe，然后查找记事本窗口，如果没有找到，退出自身进程，如果找到发送消息关闭窗口；
（2）创建互斥体“qq935623508”，防止多次运行；
（3）遍历进程，如果存在ekrn.Exe和nod32krn,则删除其服务，结束其进程；
（4）释放文件%SystemDriver%\xiayy.Dll,并且设置为系统隐藏属性，遍历进程，如果存在CCenter.exe进程，创建bssa.VBS运行动态库，不存在则直接加载，释放驱动文件AsyncMac.sys，加载驱动恢复SSDT，删除驱动，删除动态库；
（5）释放文件%temp%\Temp\dll8.Tmp,然后加载，并且结束掉大部分安全软件进程和服务和窗口，删除安全软件的文件，映像劫持安全软件；（6）修改注册表使隐藏文件属性失效；
（7）删除注册表相关键值破坏安全模式，阻止用户进入安全模式；
（8）连接网络，获得下载列表保存至%SystemRoot%system32\isb.Ini,下载木马，恶意程序；
(9)查看是否存在 %SystemRoot%\system32\dllcache\linkinfo.dll，如果存在，结束线程，如果不存在复制%SystemRoot%\system32\linkinfo.dll为%SystemRoot%\system32\dllcache\linkinfo.dll，释放驱动文件smvss.sys，并创建服务启动驱动，修改%SystemRoot%\system32\linkinfo.dll文件，删除驱动文件；
（10）遍历360tray.Exe，如果发现则释放%SystemRoot%\fonts\wohsls.Sys,读取注册表，获取360安装目录，在安装目录创建\safemon\usp10.dll目录，重命名safemon目录为monsafe；
（11）遍历磁盘，释放autorun.Inf和GRIL.PIF，以达到自动运行病毒的功能。
病毒创建文件：
%SystemDriver%\xiayy.Dll
%SystemRoot%\Fonts\bsv.VBS
%SystemRoot%\system32\drivers\aec.Sys,
%temp%\Temp\dll8.Tmp
%SystemRoot%system32\isb.Ini
%SystemRoot%\system32\dllcache\linkinfo.Dll
%SystemRoot%\fonts\smvss.Sys
%SystemRoot%\wohsls.Fon
360保险箱目录下safemon\usp10.Dll
X:\GRIL.PIF
X:\AutoRun.inf (X：为任意盘符)
病毒删除文件：
%SystemDriver%\xiayy.Dll
%SystemRoot%\Fonts\bsv.VBS
%SystemRoot%\system32\drivers\aec.Sys,
%SystemRoot%\fonts\smvss.Sys
%SystemRoot%\wohsls.Fon
病毒创建注册表：
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asyncmac
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\smvss
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wohsls
键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[所有劫持]
病毒修改注册表：
键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
值：CheckedValue
数据：2
病毒删除注册表：
键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
键：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\[安全软件]
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\asyncmac
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\smvss
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wohsls
病毒连接网络
http://b.Wu***.com/tt.txt
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
