首页 > 网络安全 > killkb.dll和pcidump.Sys等病毒清除解决方案

killkb.dll和pcidump.Sys等病毒清除解决方案

  killkb.dll和pcidump.Sys等病毒清除解决方案,来源:麦田守望者,www.2000xg.net

  病毒症状:
  该样本是使用“Delphi”编写的AV杀手木马,“upx”加壳,长度为“33,280”,病毒扩展名为“exe”,主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播,病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。
  用户中毒后,会出现计算机及网络运行缓慢,安全软件无故关闭,各类软件、Windows无故报错,自动打开恶意网站,发现大量未知进程等现象。
  感染对象:
  Windows 2000/Windows XP/Windows 2003
  传播途径:
  网页木马、文件捆绑。
  病毒分析:
  (1)创建互斥体“bboy” 防止二次运行;
  (2)设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制;
  (3)禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程;
  (4)释放动态库文件%SystemRoot%\system32\killkb.dll,遍历进程,查找RavMonD.exe进程,没有发现,加载动态库文件,如果发现进程,不加载动态库文件;
  (5)动态库文件会释放驱动文件,创建服务启动驱动,结束大部分安全软件进程,重命名驱动文件为OLD16.tmp;
  (6)释放%SystemDriver%\WINDOWSaboy.Dll并且加载;
  (7)释放%SystemRoot%\system32\drivers\pcidump.sys,创建pcidump服务启动,删除驱动文件;
  (8)打开puid服务,如果成功,删除服务,删除文件%SystemRoot%\system32\drivers\puid.sys;
  (9)修改HOSTS文件,屏蔽大量网站;
  (10)从指定网站下载病毒,并运行。
  病毒创建注册表:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
  病毒创建文件:
  %SystemRoot%\system32\killkb.dll
  %SystemRoot%\system32\drivers\acpiec.Sys
  %SystemDriver%\WINDOWSaboy.Dll
  %SystemRoot%\system32\drivers\pcidump.Sys
  %SystemRoot%\system32\drivers\OLD16.tmp
  病毒访问网络:
  
[url=http://www.r/]
http://www.r
[/url]
**8d.cn/out.txt
  手动解决办法:
  手动删除以下文件:
  %SystemRoot%\system32\killkb.dll
  %SystemDriver%\WINDOWSaboy.Dll
  %SystemRoot%\system32\drivers\pcidump.Sys
  %SystemRoot%\system32\drivers\OLD16.tmp
  手动删除以下注册表值:
  键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA
  键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump
  变量声明:
  %SystemDriver% 系统所在分区,通常为“C:\”
  %SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
  %Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
  %Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
  %ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”

转载请尊重版权,出处:秋天博客
本文链接: https://www.cfresh.net/web-security/226

  1. 0point
    0point 8月 3rd, 2009 @ 08:45 | #-31

    @123
    你不会真中了这个病毒吧?

  2. 123
    123 8月 2nd, 2009 @ 16:41 | #-32

    全是引用的 不管用

评论提交中, 请稍候...

留言



注意: 您给他人的评论回复将通过邮件通知到对方。

可以使用的标签: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>
Trackbacks & Pingbacks ( 0 )
  1. 还没有 trackbacks