|
| lsass.exe病毒的手工杀毒流程 |
| 作者 depressedboy 查看 258 发表时间 2008/7/28 11:41 【论坛浏览】 |
|
rzhveubk lsass.exe样本来源：http://bbs.ikaka.com/showtopic.a ... cid=8528361#8824668；其MD5值为：a9c9901e7c9257aa263bcf3c417ca98b。其行为符合“病毒下载器”。瑞星20.54.51不报毒。rzhveubk rzhveubk 此毒特点：rzhveubk 1、病毒运行后，在drivers目录下释放ntdapi.sys。此驱动加载后即刻删除自身；SSDT被完全恢复，瑞星、tiny监控完全实效。rzhveubk 2、lsass.exe访问网络，下载大量病毒。其中包括c:\windows\system32\drivers\hbkernel.sys和c:\windows\system32\d32dx9.sys两个难杀的驱动。rzhveubk 3、所有病毒下载完成后，大量病毒dll、dat插入多个应用程序模块运行。中毒用户运行SRENG、windows清理助手等工具－－－即刻被删除。但IceSword和autoruns不受此毒影响。rzhveubk rzhveubk rzhveubk autoruns日志所见异常如下：rzhveubk rzhveubk HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run rzhveubk + HBmhly c:\windows\system32\hbmhly.exerzhveubk HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components rzhveubk + n/a c:\windows\system32\xllylqait\lsass.exerzhveubk + n/a c:\windows\system32\vsk\lsass.exerzhveubk HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks rzhveubk + adsntzt.dll c:\windows\system32\adsntzt.dllrzhveubk + apsghjba.dll c:\windows\system32\apsghjba.dllrzhveubk + apzhdtde.dll c:\windows\system32\apzhdtde.dllrzhveubk + bootvidgj.dll c:\windows\system32\bootvidgj.dllrzhveubk + ddserh.dll c:\windows\system32\ddserh.dllrzhveubk + dispexcb.dll c:\windows\system32\dispexcb.dllrzhveubk + dpvvoxmh.dll c:\windows\system32\dpvvoxmh.dllrzhveubk + fmcvxy.dll c:\windows\system32\fmcvxy.dllrzhveubk + jfrwdh.dll c:\windows\system32\jfrwdh.dllrzhveubk + lweurqhx.dll c:\windows\system32\lweurqhx.dllrzhveubk + msobjstl.dll c:\windows\system32\msobjstl.dllrzhveubk + mstimewd.dll c:\windows\system32\mstimewd.dllrzhveubk + windows64.sys c:\program files\internet explorer\plugins\windows64.sysrzhveubk HKLM\System\CurrentControlSet\Services rzhveubk + HBKernel c:\windows\system32\drivers\hbkernel.sysrzhveubk + HiddFldy c:\windows\system32\d32dx9.sysrzhveubk HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls rzhveubk + jolin0.dll c:\windows\system32\jolin0.dllrzhveubk + msspcyn.dll c:\windows\system32\msspcyn.dllrzhveubk + myusemt.dll c:\windows\system32\myusemt.dllrzhveubk + soeehy.dll c:\windows\system32\soeehy.dllrzhveubk + tennfs.dll c:\windows\system32\tennfs.dllrzhveubk + wcnonpe.dll c:\windows\system32\wcnonpe.dllrzhveubk + welyri.dll c:\windows\system32\welyri.dllrzhveubk + woswelc.dll c:\windows\system32\woswelc.dllrzhveubk + ytfa.dll File not found: ytfa.dllrzhveubk + ytfb.dll File not found: ytfb.dllrzhveubk + ytfc.dll File not found: ytfc.dllrzhveubk + zsqf.dll c:\windows\system32\zsqf.dllrzhveubk rzhveubk 手工杀毒流程见图1－图3。rzhveubk rzhveubk 注意：rzhveubk rzhveubk 1、设置软件限制策略路径规则前，须先在“指派的文件类型”中添加DLL、SYS、DAT、NLS等文件类型，并在“强制”属性中勾选“所有软件”。否则，本帖介绍的利用软件限制策略的手工杀毒流程无效。rzhveubk rzhveubk rzhveubk 2、在不同的电脑中，病毒主程序lsass.exe所在目录名有所不同（此目录名是病毒自己建立的）。我的电脑中，病毒lsass.exe所在目录名为：rzhveubk c:\windows\system32\xllylqait\rzhveubk c:\windows\system32\vsk\rzhveubk rzhveubk 3、c:\windows\system32\目录下的那个zuwugcf.dll文件名也随不同的电脑而异。我的本本中运行过此毒的3个不同变种，但这个dll文件名一直保持为zuwugcf。同一台电脑中，注册表中其相应的服务名也不变。rzhveubk rzhveubk rzhveubk  rzhveubkrzhveubk rzhveubk rzhveubk rzhveubk rzhveubk  rzhveubkrzhveubk rzhveubk rzhveubk [ 本帖最后由 depressedboy 于 2008-7-28 11:48 编辑 ] |
| 序号 | 评论者 | 共有评论 0 【论坛浏览】 【发表评论】 | 评论时间 |
| 当前无任何评论，或评论已被禁止显示 | |||
共有评论数 0 每页显示 10
|
|||
