pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
1、创建互斥体“TGmae...”，防止程序多次运行；比较自身进程与explorer.exe是否相同，不同则提升自身进程权限；
2、创建进程快照查找是否有ekrn.exe进程，有则结束该进程；
3、在%Temp%目录下创建文件1959312.dll，调用系统文件rundll32.exe以参数testall运行该动态库；
4、动态库运行后，释放驱动程序"%Systemroot%\Fonts\pci.sys"，创建名为acde的服务，恢复SSDT，遍历磁盘查找360safe.exe、360tray.exe、 360sd.exe、kavstart.exe、Mcshield.exe、anti.exe、ANTI-TROJAN.exe、AVE32.exe并等安全软件进程，删除安全软件相关文件，最后删除驱动pci.sys文件；遍历进程，查找avp.exe，如果找到，卸载kavbase.kdl、webv.kdl、vlns.kdl、mark.kdl、klavemu.kdl、kijm.kdl模块，以"cmd /c sc config avp start= disabled"命令关闭服务；
5、运行完后删除1959312.dll动态库文件；
6、在%SystemRoot%\system32目录下创建文件4418015.exe（随机名），创建后运行该程序；
7、4418015.exe运行后创建互斥体“XETTETT......”，防止程序多次运行；提升自身进程权限，创建注册表项，将%SystemRoot%\system32\scvhost.exe设为开机启动项；创建线程，从指定网址下载文档替换%SystemRoot%\system32\drivers\etc\hosts文件，用以屏蔽大量安全软件网址。创建线程，连接黑客指定网站，并将用户系统版本网卡MAC地址等信息发送指定网站，下载大量病毒木马到本机并运行；
8、病毒本身在%SystemRoot%\system32\drivers目录下释放驱动文件pcidump.sys,开启服务项，创建通信管道与内核层通信；注入Explorer.exe进程并感染system32\drivers\gm.dls；完成后删除pcidump.sys；
9、将自身复制为C:\WINDOWS\system32\svchost.exe，以实现开机自启动；
10、在病毒自身所在目录下建立批处理文件K178a.bat,删除自身；
病毒创建文件：
%Temp%\1959312.dll
%Systemroot%\Fonts\pci.sys
%SystemRoot%\system32\4418015.exe
%SystemRoot%\system32\drivers\pcidump.sys
病毒自身所在目录\K178a.bat
病毒建立注册表：
1、HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PCIDUMP
名称：IMAGEPATH
数据：C:\WINDOWS\SYSTEM32\DRIVERS\pcidump.sys
2、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称：360Soft
数据：C:\WINDOWS\system32\svchost.exe
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
