pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
病毒分析
(1)查看系统消息队列是是否有要处理的鼠标,键盘消息，如果有，从消息队列中取出该消息；
(2)得到病毒的路径名，查找字符中是否有“\..\”、“SYSTEM.\”、“\RECYCLER\SYSTEM..\RECYCLER”，以确定运行的是否为感染后的文件还是未感染的文件；
(3)比较自身路径名称是否为C:\WINDOWS\system32\drivers\scsi4dos.sys。如果不是，查看自身是否位于svchost进程或RECYCLER目录。如果位于，则执行感染后的文件；
(4)如果病毒还未感染，会读取自身信息，根据传递参数类型获取函数返回值；
(5)如果返回值为0,病毒会复制自身到C:\WINDOWS\system32\drivers目录下并重命名为scsi4dos.sys；打开服务管理器，创建名称为ScsiDrv的服务，启动该服务；创建注册表服务项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ScsiDrv，数据指向C:\WINDOWS\system32\drivers\scsi4dos.sys；然后创建进程运行 scsi4dos.sys，退出自身进程；
(6)如果返回值非0，病毒会在%Temp%目录下创建文件tmp~setup.exe、tmp~logo.gif、setup.exe，然后将tmp~setup.exe复制为C:\WINDOWS\system32\drivers\scsi4dos.sys,运行scsi4dos.sys；
(7)scsi4dos.sys运行后，比较自身是否位于C:\WINDOWS\system32\svchost.exe；如果不是，打开svchost.exe进程;将自身进程注入到svchost.exe的远端线程，达到隐藏自身进程的目的；如果注入成功，会创建名为EvilEva的互斥量，防止多个程序运行；否则删除自身退出进程；
(8) 创建线程，连接病毒网络http://hi.***.com/%5Fevileva%5F/profile,从网络读取数据写入本地%Temp%\temp~文件，然后运行该文件；
(9)遍历所有磁盘驱动器查找可移动磁盘，在该盘符根目录下下创建文件夹“RECYCLER”，设置文件夹属性为系统、只读、隐藏，在X：\RECYCLER目录下创建配置文件desktop.ini（X为可移动磁盘）；创建目录X：\RECYCLER\SYSTEM..\,把C:\WINDOWS\system32\drivers\scsi4dos.sys复制到该目录下并重命名为RECYCLER；
(10) 在X盘符根目录下创建AutoRun.inf配置文件 ，设置文件属性为系统、只读、隐藏；U盘运行后，利用Windows的自动播放功能自动运行X:\RECYCLER\SYSTEM..\RECYCLER
(11)创建线程，感染所有可移动磁盘下的.exe文件，文件运行后，会运行感染的代码；
(12)删除C:\WINDOWS\system32\drivers\scsi4dos.sys，退出自身进程；
病毒创建文件：
C:\WINDOWS\system32\drivers\scsi4dos.sys
%Temp%\tmp~setup.exe
%Temp%\setup.exe
%Temp%\tmp~logo.gif
%Temp%\tmp~
X:\RECYCLER\SYSTEM..\RECYCLER
X:\RECYCLER\desktop.ini
X:\AutoRun.inf
病毒创建注册表：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ScsiDrv
名称：ScsiDrv
数据：C:\WINDOWS\system32\drivers\scsi4dos.sys
病毒访问网络：
http://hi.***.com/%5Fevileva%5F/profile
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
