微点交流论坛

标题: Worm.Win32.Otwycal.b(MSDOS.bat)病毒分析与解决方案 [打印本页]

作者: 反病毒小菜 时间: 2008-4-30 20:50 标题: Worm.Win32.Otwycal.b(MSDOS.bat)病毒分析与解决方案

Worm.Win32.Otwycal.b(MSDOS.bat)病毒分析与解决方案

一、病毒相关分析：
   病毒标签：
      病毒名称：Worm.Win32.Otwycal.b
      病毒类型：感染式蠕虫
      危害级别：5
      感染平台：Windows
      病毒大小：14,412(字节)
      SHA1　　：DC834AEE4B3558365577F0EE130FF5B73F8633CF
      加壳类型：Upack

   病毒行为：
      1、病毒运行后释放文件
         %windir%\Windows.ext
         %windir%\explorer.ext
         %windir%\Sysfile.Brk
         释放autorun.inf和MSDOS.bat到各盘根目录下
      2、病毒尝试修改explorer.exe进程
      3、感染C盘下的文件(非系统文件夹)，修改最后一个节的节名为WYcao，将病毒代码插在最后一个节的尾部
      4、下载文件：http://www.wg***.cn/config.txt
         根据该文件下载并运行以下文件
         http://17bs.com/***/mh.exe
         http://17bs.com/***/chibi.exe
         http://17bs.com/***/fenghuo.exe
         http://17bs.com/***/huanxiang.exe
         http://17bs.com/***/jianxia.exe
         http://17bs.com/***/mr.exe
         http://17bs.com/***/qiji.exe
         http://17bs.com/***/toumingzhuang.exe
         http://17bs.com/***/wanmeiguoji.exe
         http://17bs.com/***/wendao.exe
         http://17bs.com/***/wulin.exe
         http://17bs.com/***/zhengtu.exe
         http://17bs.com/***/back/jianghu.exe
         http://17bs.com/***/back/moyu.exe
         http://17bs.com/***/back/WOW.exe
         http://17bs.com/***/qq3guo.exe
         http://17bs.com/***/cqsj.exe
         http://17bs.com/***/zhengtu.exe
         http://17bs.com/***/qqhuaxia.exe
         http://17bs.com/***/dh.exe
         http://17bs.com/***/yitian2.exe
         http://17bs.com/***/siluchuanshuo.exe
         http://17bs.com/***/qqziyou.exe
         http://17bs.com/***/zhuxian.exe
         http://17bs.com/***/dahua3.exe
         http://17bs.com/***/juren.exe
      5、下载的病毒运行后会释放一些dll文件，添加注册表将这些dll注入到系统进程中，实现开机自启动
         注册表键:HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
         注册表值:AppInit_DLLs
         值:wfhyt.dll,kghk.dll,lfsjgf.dll,stehs.dll,sthth.dll,frntrn.dll,
            drghszd.dll,fngn.dll,gjjte.dll,xgnfn.dll,xfgnhcgfm.dll,
            serger.dll,bnxnb.dll,fxgnfx.dll,jzijj.dll,xfgnfx.dll,
            serghjm.dll,thsddh.dll,xbcvxb.dll,zfdzb.dll,xdndn.dll,
            xdfntt.dll,hgfhk.dll,dnteh.dll,xfng.dll,
            vnjritc.dll,chmfcmh.dll,jwlah.dll,gmnait.dll,hfjg.dll,
            thurh.dll,mgmgmm.dll,oqrthc.dll,qrhhb.dll,
            jyjlt.dll,ijatnaw.dll,sehhter.dll,fhjfg.dll,zdbdb.dll,
            ydgn.dll,dbfb.dll,fjnbv.dll,wmsat.dll,
            setrhes.dll,cdxbfxdb.dll,xfgnxfn.dll,gjkhj.dll,fehom.dll,
      6、病毒会将释放的dll文件注入explorer进程

二、解决方案
推荐方案：
            安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
            超级巡警下载地址：http://www.dswlab.com/d1.html

手工清除方法：
　　
1、结束explorer.exe进程，拷贝%SystemRoot%\dllcache文件夹下的explorer.exe覆盖%SystemRoot%文件夹下的　　
         explorer.exe
　　       2、删除病毒生成的文件：
　　          %windir%\Windows.ext
            %windir%\explorer.ext
            %windr%\Sysfile.Brk
            释放autorun.inf和MSDOS.bat到各盘根目录下
　　       3、删除病毒添加的注册表项：
            [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
            "AppInit_DLLs"

三、安全建议
　　       1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
　　       2、使用超级巡警的补丁检查功能，及时安装系统补丁。
　　       3、不要随意共享文件或文件夹，共享前应先设置好权限，另外建议共享文件不要设置为可写或可控制。
　　       4、禁用或删除不必要的的帐号，对管理员帐号设置一个强壮的密码。
　　       5、禁用不必要的服务。
　　       6、不要随便打开不明来历的电子邮件，尤其是邮件附件。
　　       7、不要随意下载不安全网站的文件并运行。
　　       8、下载和新拷贝的文件要首先进行查毒。
　　       9、不要轻易打开即时通讯工具中发来的链接或可执行文件。
　　       10、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。
　　       11、做好系统和重要数据的备份，以便能够进行系统和数据灾难恢复。

www.newjian.com

作者: qq2008444 时间: 2008-4-30 20:59
转贴吧。。。
从这个病毒的行为来看
似乎是一个木马下载者，看来熊猫烧香的利益网络给新一代的病毒制造者很大的启示呢

作者: 反病毒小菜 时间: 2008-5-8 21:30 标题: 转帖

Quote:

Originally posted by qq2008444 at 2008-4-30 20:59:
转贴吧。。。
从这个病毒的行为来看
似乎是一个木马下载者，看来熊猫烧香的利益网络给新一代的病毒制造者很大的启示呢

转自
http://www.newjian.com/zuixinbingdu/2008/0423/2966.html
作者：超级巡警

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn