微点交流论坛 - 微点软件使用交流 - 实测想和微点同归于尽也不是很容易

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 微点软件使用交流 » 实测想和微点同归于尽也不是很容易

红塔山
中级用户

积分 206
发帖 96
注册 2007-7-20

#1 实测想和微点同归于尽也不是很容易

这篇文章哪位技术强人给我讲解讲解

作者:win32k

http://hi.baidu.com/win32k

1、遍历文件查找regsvr32.exe注册和反注册系统的五个dll文件

2、修改系统时间2004年8月17日，微点报可疑

3、获取环境变量，在％Program Files％\Windows Media Player\目录下创建后门文件smigrate.exe，分五次写入

4、在％Program Files％\Internet Explorer\目录下创建后门文件IEXPL0RE.EXE，分十三次写入

5、获取系统目录，在system32目录下创建WinRSLD.dll，分七次写入

6、遍历文件查找regsvr32.exe执行注册WinRSLD.dll微点报可疑文件，继续放行

7、注册smigrate.exe为win32服务SecondarySENS

8、执行IEXPL0RE.EXE，再次修改系统时间为起始时间，目的很明显，过卡巴主防，到目前该文件已经释放驱动创建符号连接与病毒其他组件通讯，将阻断了进程创建，微点也打不开了

[img]http://hiphotos.baidu.com/win32k/pic/item/921ebcce7e57c30f93457efd.jpg[img]

9、删除windows XP 开始.wav、Windows XP信息栏.wav、windows XP 弹出窗口已阻止.wav这三个声音文件，使得后门更隐蔽，遍历盘符查找exe文件替换为病毒自身文件

10、当在替换第三个文件的时候，触发了未知木马规则被微点把进程挂起了，随后出现删除提示和延时删除提示，重启后删除，病毒得以清除，微点完好无损，只不过中此病毒者需要用手把病毒反注册的五个dll注册，regsvr32.exe /s bd 病毒反注册.dll

转自：http://hi.baidu.com/%D6%F7%B6%AF%B7%C0%D3%F9/blog

※ ※ ※ 本文纯属【红塔山】个人意见，与【微点交流论坛】立场无关※ ※ ※

[size=4]世界是我们的，做事靠大家来。[/size]

2007-11-15 12:46

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号