killkb.dll和pcidump.Sys等病毒清除解决方案，来源：麦田守望者，www.2000xg.net

　　病毒症状：
　　该样本是使用“Delphi”编写的AV杀手木马，“upx”加壳，长度为“33,280”，病毒扩展名为“exe”，主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播，病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。
　　用户中毒后，会出现计算机及网络运行缓慢，安全软件无故关闭，各类软件、Windows无故报错，自动打开恶意网站，发现大量未知进程等现象。
　　感染对象：
　　Windows 2000/Windows XP/Windows 2003
　　传播途径：
　　网页木马、文件捆绑。
　　病毒分析：
　　（1）创建互斥体“bboy” 防止二次运行；
　　（2）设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制；
　　（3）禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程；
　　（4）释放动态库文件%SystemRoot%\system32\killkb.dll，遍历进程，查找RavMonD.exe进程，没有发现，加载动态库文件，如果发现进程，不加载动态库文件；
　　（5）动态库文件会释放驱动文件，创建服务启动驱动，结束大部分安全软件进程，重命名驱动文件为OLD16.tmp；
　　（6）释放%SystemDriver%\WINDOWSaboy.Dll并且加载；
　　（7）释放%SystemRoot%\system32\drivers\pcidump.sys，创建pcidump服务启动，删除驱动文件；
　　（8）打开puid服务，如果成功，删除服务，删除文件%SystemRoot%\system32\drivers\puid.sys；
　　（9）修改HOSTS文件，屏蔽大量网站；
　　（10）从指定网站下载病毒，并运行。
　　病毒创建注册表：
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
　　病毒创建文件：
　　%SystemRoot%\system32\killkb.dll
　　%SystemRoot%\system32\drivers\acpiec.Sys
　　%SystemDriver%\WINDOWSaboy.Dll
　　%SystemRoot%\system32\drivers\pcidump.Sys
　　%SystemRoot%\system32\drivers\OLD16.tmp
　　病毒访问网络：
　　
[url=http://www.r/]
http://www.r
[/url]
**8d.cn/out.txt
　　手动解决办法：
　　手动删除以下文件：
　　%SystemRoot%\system32\killkb.dll
　　%SystemDriver%\WINDOWSaboy.Dll
　　%SystemRoot%\system32\drivers\pcidump.Sys
　　%SystemRoot%\system32\drivers\OLD16.tmp
　　手动删除以下注册表值：
　　键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
　　变量声明：
　　%SystemDriver% 系统所在分区,通常为“C:\”
　　%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
　　%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
　　%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”

转载请尊重版权，出处：秋天博客
本文链接: https://www.cfresh.net/web-security/226

　   winlogin.scr等病毒详解与清除方案，来源：麦田守望者，www.2000xg.com　
　　病毒症状：
　　该样本是使用“Delphi”编写的后门程序，长度为“753,152 字节”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页木马”等方式传播，病毒主要目的为设立后门，使用户电脑沦为傀儡主机。
　　用户中毒后，可能会出现计算机无故重启、关闭，重要文件丢失，系统及网络缓慢、摄像头无故启用、程序无故关闭、注册表被修改、出现各类病毒等导致用户隐私泄露及影响用户使用的现象。
　　感染对象：
　　Windows 2000/Windows XP/Windows 2003
　　传播途径：
　　网页挂马、文件捆绑、下载器下载。
　　病毒分析：
　　（1）读取并解密自己配置信息；
　　（2）复制自身到%SystemRoot%\winlogin.scr；
　　（3）注册服务，启动病毒；
　　（4）创建svchost.exe进程，把病毒代码注入进程；
　　（5）创建批处理文件删除自身；
　　（6）尝试连接黑客主机。
　　病毒创建文件：
　　%SystemRoot%\winlogin.scr
　　%SystemRoot%\uninstal.bat
　　病毒删除文件：
　　%SystemRoot%\uninstal.bat
　　病毒创建注册表：
　　HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
　　病毒创建进程：
　　svchost.exe
　　病毒访问网络：
　　huangw***21.3322.org:7000
　　解决方案：
　　1、手动删除以下文件：
　　%SystemRoot%\winlogin.scr
　　2、手动删除以下注册表值：
　　键：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
　　变量声明：
　　%SystemDriver%　　系统所在分区，通常为“C:\”
　　%SystemRoot%　　WINDODWS所在目录，通常为“C:\Windows”
　　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　　%Temp%　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles%　　系统程序默认安装目录，通常为：“C:\ProgramFiles”

转载请尊重版权，出处：秋天博客
本文链接: https://www.cfresh.net/web-security/227