|
| lsass.exe病毒的手工杀毒流程 |
| 作者 depressedboy 查看 197 发表时间 2008/7/28 11:41 【论坛浏览】 |
|
wqbx lsass.exe样本来源：http://bbs.ikaka.com/showtopic.a ... cid=8528361#8824668；其MD5值为：a9c9901e7c9257aa263bcf3c417ca98b。其行为符合“病毒下载器”。瑞星20.54.51不报毒。wqbx wqbx 此毒特点：wqbx 1、病毒运行后，在drivers目录下释放ntdapi.sys。此驱动加载后即刻删除自身；SSDT被完全恢复，瑞星、tiny监控完全实效。wqbx 2、lsass.exe访问网络，下载大量病毒。其中包括c:\windows\system32\drivers\hbkernel.sys和c:\windows\system32\d32dx9.sys两个难杀的驱动。wqbx 3、所有病毒下载完成后，大量病毒dll、dat插入多个应用程序模块运行。中毒用户运行SRENG、windows清理助手等工具－－－即刻被删除。但IceSword和autoruns不受此毒影响。wqbx wqbx wqbx autoruns日志所见异常如下：wqbx wqbx HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run wqbx + HBmhly c:\windows\system32\hbmhly.exewqbx HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components wqbx + n/a c:\windows\system32\xllylqait\lsass.exewqbx + n/a c:\windows\system32\vsk\lsass.exewqbx HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks wqbx + adsntzt.dll c:\windows\system32\adsntzt.dllwqbx + apsghjba.dll c:\windows\system32\apsghjba.dllwqbx + apzhdtde.dll c:\windows\system32\apzhdtde.dllwqbx + bootvidgj.dll c:\windows\system32\bootvidgj.dllwqbx + ddserh.dll c:\windows\system32\ddserh.dllwqbx + dispexcb.dll c:\windows\system32\dispexcb.dllwqbx + dpvvoxmh.dll c:\windows\system32\dpvvoxmh.dllwqbx + fmcvxy.dll c:\windows\system32\fmcvxy.dllwqbx + jfrwdh.dll c:\windows\system32\jfrwdh.dllwqbx + lweurqhx.dll c:\windows\system32\lweurqhx.dllwqbx + msobjstl.dll c:\windows\system32\msobjstl.dllwqbx + mstimewd.dll c:\windows\system32\mstimewd.dllwqbx + windows64.sys c:\program files\internet explorer\plugins\windows64.syswqbx HKLM\System\CurrentControlSet\Services wqbx + HBKernel c:\windows\system32\drivers\hbkernel.syswqbx + HiddFldy c:\windows\system32\d32dx9.syswqbx HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Appinit_Dlls wqbx + jolin0.dll c:\windows\system32\jolin0.dllwqbx + msspcyn.dll c:\windows\system32\msspcyn.dllwqbx + myusemt.dll c:\windows\system32\myusemt.dllwqbx + soeehy.dll c:\windows\system32\soeehy.dllwqbx + tennfs.dll c:\windows\system32\tennfs.dllwqbx + wcnonpe.dll c:\windows\system32\wcnonpe.dllwqbx + welyri.dll c:\windows\system32\welyri.dllwqbx + woswelc.dll c:\windows\system32\woswelc.dllwqbx + ytfa.dll File not found: ytfa.dllwqbx + ytfb.dll File not found: ytfb.dllwqbx + ytfc.dll File not found: ytfc.dllwqbx + zsqf.dll c:\windows\system32\zsqf.dllwqbx wqbx 手工杀毒流程见图1－图3。wqbx wqbx 注意：wqbx wqbx 1、设置软件限制策略路径规则前，须先在“指派的文件类型”中添加DLL、SYS、DAT、NLS等文件类型，并在“强制”属性中勾选“所有软件”。否则，本帖介绍的利用软件限制策略的手工杀毒流程无效。wqbx wqbx wqbx 2、在不同的电脑中，病毒主程序lsass.exe所在目录名有所不同（此目录名是病毒自己建立的）。我的电脑中，病毒lsass.exe所在目录名为：wqbx c:\windows\system32\xllylqait\wqbx c:\windows\system32\vsk\wqbx wqbx 3、c:\windows\system32\目录下的那个zuwugcf.dll文件名也随不同的电脑而异。我的本本中运行过此毒的3个不同变种，但这个dll文件名一直保持为zuwugcf。同一台电脑中，注册表中其相应的服务名也不变。wqbx wqbx wqbx  wqbxwqbx wqbx wqbx wqbx wqbx  wqbxwqbx wqbx wqbx [ 本帖最后由 depressedboy 于 2008-7-28 11:48 编辑 ] |
| 序号 | 评论者 | 共有评论 0 【论坛浏览】 【发表评论】 | 评论时间 |
| 当前无任何评论，或评论已被禁止显示 | |||
共有评论数 0 每页显示 10
|
|||
