killkb.dll和pcidump.Sys等病毒清除解决方案,来源:麦田守望者,www.2000xg.net
病毒症状:
该样本是使用“Delphi”编写的AV杀手木马,“upx”加壳,长度为“33,280”,病毒扩展名为“exe”,主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播,病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。
用户中毒后,会出现计算机及网络运行缓慢,安全软件无故关闭,各类软件、Windows无故报错,自动打开恶意网站,发现大量未知进程等现象。
感染对象:
Windows 2000/Windows XP/Windows 2003
传播途径:
网页木马、文件捆绑。
病毒分析:
(1)创建互斥体“bboy” 防止二次运行;
(2)设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制;
(3)禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程;
(4)释放动态库文件%SystemRoot%\system32\killkb.dll,遍历进程,查找RavMonD.exe进程,没有发现,加载动态库文件,如果发现进程,不加载动态库文件;
(5)动态库文件会释放驱动文件,创建服务启动驱动,结束大部分安全软件进程,重命名驱动文件为OLD16.tmp;
(6)释放%SystemDriver%\WINDOWSaboy.Dll并且加载;
(7)释放%SystemRoot%\system32\drivers\pcidump.sys,创建pcidump服务启动,删除驱动文件;
(8)打开puid服务,如果成功,删除服务,删除文件%SystemRoot%\system32\drivers\puid.sys;
(9)修改HOSTS文件,屏蔽大量网站;
(10)从指定网站下载病毒,并运行。
病毒创建注册表:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
病毒创建文件:
%SystemRoot%\system32\killkb.dll
%SystemRoot%\system32\drivers\acpiec.Sys
%SystemDriver%\WINDOWSaboy.Dll
%SystemRoot%\system32\drivers\pcidump.Sys
%SystemRoot%\system32\drivers\OLD16.tmp
病毒访问网络:
[url=http://www.r/]
http://www.r
[/url]
**8d.cn/out.txt
手动解决办法:
手动删除以下文件:
%SystemRoot%\system32\killkb.dll
%SystemDriver%\WINDOWSaboy.Dll
%SystemRoot%\system32\drivers\pcidump.Sys
%SystemRoot%\system32\drivers\OLD16.tmp
手动删除以下注册表值:
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
转载请尊重版权,出处:秋天博客 本文链接: https://www.cfresh.net/web-security/226