标题: 实测想和微点同归于尽也不是很容易 [打印本页]

---

作者: 红塔山     时间: 2007-11-15 12:46    标题: 实测想和微点同归于尽也不是很容易

这篇文章哪位技术强人给我讲解讲解

作者:win32k

http://hi.baidu.com/win32k

1、遍历文件查找regsvr32.exe注册和反注册系统的五个dll文件




2、修改系统时间2004年8月17日，微点报可疑




3、获取环境变量，在％Program Files％\Windows Media Player\目录下创建后门文件smigrate.exe，分五次写入



4、在％Program Files％\Internet Explorer\目录下创建后门文件IEXPL0RE.EXE，分十三次写入



5、获取系统目录，在system32目录下创建WinRSLD.dll，分七次写入



6、遍历文件查找regsvr32.exe执行注册WinRSLD.dll微点报可疑文件，继续放行





7、注册smigrate.exe为win32服务SecondarySENS



8、执行IEXPL0RE.EXE，再次修改系统时间为起始时间，目的很明显，过卡巴主防，到目前该文件已经释放驱动创建符号连接与病毒其他组件通讯，将阻断了进程创建，微点也打不开了

[img]http://hiphotos.baidu.com/win32k/pic/item/921ebcce7e57c30f93457efd.jpg[img]



9、删除windows XP 开始.wav、Windows XP信息栏.wav、windows XP 弹出窗口已阻止.wav这三个声音文件，使得后门更隐蔽，遍历盘符查找exe文件替换为病毒自身文件



10、当在替换第三个文件的时候，触发了未知木马规则被微点把进程挂起了，随后出现删除提示和延时删除提示，重启后删除，病毒得以清除，微点完好无损，只不过中此病毒者需要用手把病毒反注册的五个dll注册，regsvr32.exe /s bd 病毒反注册.dll





转自：http://hi.baidu.com/%D6%F7%B6%AF%B7%C0%D3%F9/blog

---

欢迎光临 微点交流论坛 (http://bbs.micropoint.com.cn/)

bbs.micropoint.com.cn