pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16 来自 BJ
|
#2
病毒分析
1、创建互斥体,防止程序多次运行;
2、获取当前用户用户名,将木马指定的字符串与“Administrator”用户名相比较,如果有相符合的,则退出自身进程;
3、创建进程快照,查找系统是否有“wireshark.exe”软件(该软件是用于监控网络行为的),有则退出自身进程;
4、获取系统操作系统版本,比较自身是否位于%appdata%目录下,如果不是,则复制自身到该目录下并重命名为explorer.exe,并设置系统属性为只读、系统、隐藏;
6、木马创建注册表项,目标指向%appdata%\explorer.exe,使其实现自启动;在注册表防火墙白名单中加入%appdata%\explorer.exe,从而绕过系统防火墙的检测;
7、木马创建进程运行%appdata%\explorer.exe,退出自身进程;
8、explorer.exe运行后首先创建线程,线程里病毒创建注册表项,实现自身自启动及绕过系统防火墙;
9、病毒在除C盘外的所有驱动器上创建目录X:\driver\info,并设置文件夹属性为系统隐藏,然后在该目录下创建配置文件desktop.ini,将info文件夹伪装为回收站文件夹,达到隐藏里面文件目的,复制%appdata%\explorer.exe到该目录下,在每个磁盘的根目录下创建文件autorun.inf,实现文件explorer.exe的自启动;
10、遍历系统进程,查找hidserv.exe、taskeng.exe,找到后结束进程;查找注册表的自启动项里是否有“Windows Update System”,有则删除该注册表项,关闭windows的自动更新程序;查找%appdata%目录下是否有hidserv.exe、taskeng.exe,有则删除此文件;
11、连接病毒网络,进行套接字通讯,将本机的信息发送到病毒网络,连接黑客主机,用户电脑成为傀儡;
病毒创建文件:
%appdata%\explorer.exe
硬盘根目录:\driver\info\explorer.exe
硬盘根目录:\driver\info\desktop.ini
硬盘根目录:\autorun.inf
病毒创建注册表:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:Microsoft ProtectionPlus
数据:%appdata%\explorer.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:Microsoft ProtectionPlus
数据:%appdata%\explorer.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\
StandardProfile\AuthorizedApplications\List
名称:Windows AntiVirus
数据:%appdata%\explorer.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\
StandardProfile\AuthorizedApplications\List
名称:Microsoft ProtectionPlus
数据:%appdata%\explorer.exe
病毒删除注册表项:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:Windows Update System
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
名称:Windows Update System
病毒访问网络:
boatnet.***.net:6667
|
※文章所有权归【pioneer】与【东方微点论坛】共同所有,转载请注明出处!※
|
|
|