标签为 "木马病毒分析" 的存档

killkb.dll和pcidump.Sys等病毒清除解决方案

  killkb.dll和pcidump.Sys等病毒清除解决方案,来源:麦田守望者,www.2000xg.net

  病毒症状:
  该样本是使用“Delphi”编写的AV杀手木马,“upx”加壳,长度为“33,280”,病毒扩展名为“exe”,主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播,病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。
  用户中毒后,会出现计算机及网络运行缓慢,安全软件无故关闭,各类软件、Windows无故报错,自动打开恶意网站,发现大量未知进程等现象。
  感染对象:
  Windows 2000/Windows XP/Windows 2003
  传播途径:
  网页木马、文件捆绑。
  病毒分析:
  (1)创建互斥体“bboy” 防止二次运行;
  (2)设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制;
  (3)禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程;
  (4)释放动态库文件%SystemRoot%\system32\killkb.dll,遍历进程,查找RavMonD.exe进程,没有发现,加载动态库文件,如果发现进程,不加载动态库文件;
  (5)动态库文件会释放驱动文件,创建服务启动驱动,结束大部分安全软件进程,重命名驱动文件为OLD16.tmp;
  (6)释放%SystemDriver%\WINDOWSaboy.Dll并且加载;
  (7)释放%SystemRoot%\system32\drivers\pcidump.sys,创建pcidump服务启动,删除驱动文件;
  (8)打开puid服务,如果成功,删除服务,删除文件%SystemRoot%\system32\drivers\puid.sys;
  (9)修改HOSTS文件,屏蔽大量网站;
  (10)从指定网站下载病毒,并运行。
  病毒创建注册表:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
  病毒创建文件:
  %SystemRoot%\system32\killkb.dll
  %SystemRoot%\system32\drivers\acpiec.Sys
  %SystemDriver%\WINDOWSaboy.Dll
  %SystemRoot%\system32\drivers\pcidump.Sys
  %SystemRoot%\system32\drivers\OLD16.tmp
  病毒访问网络:
  
[url=http://www.r/]
http://www.r
[/url]
**8d.cn/out.txt
  手动解决办法:
  手动删除以下文件:
  %SystemRoot%\system32\killkb.dll
  %SystemDriver%\WINDOWSaboy.Dll
  %SystemRoot%\system32\drivers\pcidump.Sys
  %SystemRoot%\system32\drivers\OLD16.tmp
  手动删除以下注册表值:
  键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
  键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
  变量声明:
  %SystemDriver% 系统所在分区,通常为“C:\”
  %SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
  %Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”

转载请尊重版权,出处:秋天博客
本文链接: https://www.cfresh.net/web-security/226

winlogin.scr等病毒详解与清除方案

    winlogin.scr等病毒详解与清除方案,来源:麦田守望者,www.2000xg.com 
  病毒症状:
  该样本是使用“Delphi”编写的后门程序,长度为“753,152 字节”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页木马”等方式传播,病毒主要目的为设立后门,使用户电脑沦为傀儡主机。
  用户中毒后,可能会出现计算机无故重启、关闭,重要文件丢失,系统及网络缓慢、摄像头无故启用、程序无故关闭、注册表被修改、出现各类病毒等导致用户隐私泄露及影响用户使用的现象。
  感染对象:
  Windows 2000/Windows XP/Windows 2003
  传播途径:
  网页挂马、文件捆绑、下载器下载。
  病毒分析:
  (1)读取并解密自己配置信息;
  (2)复制自身到%SystemRoot%\winlogin.scr;
  (3)注册服务,启动病毒;
  (4)创建svchost.exe进程,把病毒代码注入进程;
  (5)创建批处理文件删除自身;
  (6)尝试连接黑客主机。
  病毒创建文件:
  %SystemRoot%\winlogin.scr
  %SystemRoot%\uninstal.bat
  病毒删除文件:
  %SystemRoot%\uninstal.bat
  病毒创建注册表:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
  病毒创建进程:
  svchost.exe
  病毒访问网络:
  huangw***21.3322.org:7000
  解决方案:
  1、手动删除以下文件:
  %SystemRoot%\winlogin.scr
  2、手动删除以下注册表值:
  键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
  变量声明:
  %SystemDriver%  系统所在分区,通常为“C:\”
  %SystemRoot%  WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”
  %Temp%  临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles%  系统程序默认安装目录,通常为:“C:\ProgramFiles”

转载请尊重版权,出处:秋天博客
本文链接: https://www.cfresh.net/web-security/227