pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析:
1.该样本运行后,首先创建线程,在线程函数中打开名为"Global\EVENT_DOG_DOG_XXX"的时间对象,若不存在则创建,之后不断的将该事件对象置位。
2.创建%SystemRoot%\Tasks\svchost文件夹,获得自身路径,判断自身路径是否为"%SystemRoot%\Tasks\svchost"。
3.若发现不是则将%SystemRoot%\Tasks\svchost文件夹下的svchost.exe文件移动到%SystemDriver%目录下并更名为_@30.tmp(随机命名)。
4.拷贝自身到SystemRoot%\Tasks\svchost文件夹下并更名为svchost.exe,修改以下注册表项实现病毒的开机启动:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
名称:Userinit
数据:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\svchost\svchost.exe
5.运行SystemRoot%\Tasks\svchost文件夹的svchost.exe,并利用运行命令行方式删除样本自身。
6.Svchost.exe运行后,创建文件映射载入自身文件,从自身文件中读出配置信息。
7.创建线程,在线程函数中创建进程快照查找名为"V3Up.exe"的进程,若找到则利用命令放方式停止其注册的系统服务。
8.根据从自身读出的配置信息,连接指定网址,下载配置文件down.txt到本地SystemRoot%文件加下,并连接配置文件中的病毒下载地址,下载大量病毒到本机运行。
病毒创建文件:
%SystemRoot%\Tasks\svchost\svchost.exe
%SystemDriver%\_@30.tmp(随机命名)
SystemRoot%\down.txt
病毒修改注册表:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
名称:Userinit
数据:C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\svchost\svchost.exe
病毒访问网络:
http://www.del****ng.com/in***de/do***txt
http://www.del****ng.com/in***de/cl***nt/count.asp?mac=00c0***aae9c&ver=201***1802
http://g**.i***:8***/dow***xt
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|