该样本是使用“Delphi”编写的AV杀手木马,“upx”加壳,长度为“33,280”,病毒扩展名为“exe”,主要通过“文件捆绑”、“局域网下载器下载”、“网页挂马”等方式传播,病毒主要目的为关闭大量安全软件和下载木马病毒至用户主机运行。 用户中毒后,会出现计算机及 *** 运行缓慢,安全软件无故关闭,各类软件、Windows无故报错,自动打开恶意网站,发现大量未知进程等现象。 感染对象: Windows 2000/Windows XP/Windows 2003 传播途径: 网页木马、文件捆绑。 病毒分析: (1)创建互斥体“bboy” 防止二次运行; (2)设置%SystemRoot%\system32和%temp% 目录的权限为everyone完全控制; (3)禁止ekrn服务,结束kern.exe egui.exe scanfrm.exe进程; (4)释放动态库文件%SystemRoot%\system32\killkb.dll,遍历进程,查找RavMonD.exe进程,没有发现,加载动态库文件,如果发现进程,不加载动态库文件; (5)动态库文件会释放驱动文件,创建服务启动驱动,结束大部分安全软件进程,重命名驱动文件为OLD16.tmp; (6)释放%SystemDriver%\WINDOWSaboy.Dll并且加载; (7)释放%SystemRoot%\system32\drivers\pcidump.sys,创建pcidump服务启动,删除驱动文件; (8)打开puid服务,如果成功,删除服务,删除文件%SystemRoot%\system32\drivers\puid.sys; (9)修改HOSTS文件,屏蔽大量网站; (10)从指定网站下载病毒,并运行。 病毒创建注册表: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump 病毒创建文件: %SystemRoot%\system32\killkb.dll %SystemRoot%\system32\drivers\acpiec.Sys %SystemDriver%\WINDOWSaboy.Dll %SystemRoot%\system32\drivers\pcidump.Sys %SystemRoot%\system32\drivers\OLD16.tmp 病毒访问 *** : http://www.r**8d.cn/out.txt 手动解决办法: 手动删除以下文件: %SystemRoot%\system32\killkb.dll %SystemDriver%\WINDOWSaboy.Dll %SystemRoot%\system32\drivers\pcidump.Sys %SystemRoot%\system32\drivers\OLD16.tmp 手动删除以下注册表值: 键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UpdateDATA 键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\acpidump 变量声明: %SystemDriver% 系统所在分区,通常为“C:\” %SystemRoot% WINDODWS所在目录,通常为“C:\Windows” %Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings” %Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
网络安全建设的核心是网络安全人才的培养,伴随2018 ISC互联网安全大会(原“中国互联网安全大会”)9月4-6日在北京国家会议中心热烈召开。关于加速培养国内网络安全人才的话题,在大会的《中国网络...
流动奖励有点多,不敢相信啊。 网络800颗星星,可获得新年红包,500以下抵用券一张, 网络1600颗星星,可获得新年白金红包,1000米以下抵用券一张。 网络2000颗星星,可获得2000米愿...
样本剖析3magic {写入文件C:WindowsSystem32TSMSISrv.dll或C:WindowsSystem32TSMSISrv.dll文件名%UserProfile%.oracleSe...
卡小邦是一个类似卡银家的信用卡网申推广赚钱平台,当前注册为合资人为,即可免费获赠10米现金,需要简朴的实名认证,填写信息即可,不上传,不刷脸,不要钱。然后介入抢红包流动,可以抽到5-100米,不外一样...
本文导读目录: 1、魔幻手机里有几个手机 2、关于魔幻手机剧情的小问题,想请教一下大家 3、魔幻手机中游所为的太子是从哪里来的?第几集? 4、电视剧魔幻手机里游所为复制了傻妞吗? 5、...
据人民网报道:盖茨答白岩松提问。红杏出墙,这个词汇许多男子应该听说过,有时刻就怕自己头上酿成“青青草原”,就像王宝强那样,事情效果远不止仳离那么简朴。要知道自己辛辛苦苦赚的钱,可能就会被对方分走一半,...