|
|
| AV杀手Trojan-Spy.Win32.KillAV.b |
| 作者 网络vs浪子 查看 235 发表时间 2008/6/5 10:09 【论坛浏览】 |
病毒名称vbblrxdrwk
vbblrxdrwk
Trojan-Spy.Win32.KillAV.bvbblrxdrwk
vbblrxdrwk
捕获时间vbblrxdrwk
vbblrxdrwk
2008-06-04vbblrxdrwk
vbblrxdrwk
病毒摘要vbblrxdrwk
vbblrxdrwk
该木马是使用VC编写的盗号程序，由微点主动防御软件自动捕获，采用FSG加壳方式试图躲避特征码扫描，加壳后长度为58,368字节，图标为 vbblrxdrwk
，病毒扩展名为exe，主要通过网页木马、文件捆绑方式传播，病毒映像劫持一百余种杀毒软件和防火墙，并下载其他病毒程序。vbblrxdrwk
vbblrxdrwk
感染对象vbblrxdrwk
vbblrxdrwk
Windows 2000/Windows XP/Windows 2003vbblrxdrwk
vbblrxdrwk
传播途径vbblrxdrwk
vbblrxdrwk
网页挂马，文件捆绑vbblrxdrwk
vbblrxdrwk
安全提示vbblrxdrwk
vbblrxdrwk
已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”，请直接选择删除处理（如图1）；vbblrxdrwk
vbblrxdrwk
 vbblrxdrwk
vbblrxdrwk
vbblrxdrwk
如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"Trojan-Spy.Win32.KillAV.b”，请直接选择删除（如图2）。vbblrxdrwk
vbblrxdrwk
 vbblrxdrwk
vbblrxdrwk
vbblrxdrwk
对于未使用微点主动防御软件的用户，微点反病毒专家建议：vbblrxdrwk
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。vbblrxdrwk
2、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。vbblrxdrwk
3、开启windows自动更新，及时打好漏洞补丁。 vbblrxdrwk
病毒分析vbblrxdrwk
vbblrxdrwk
该样本程序被执行后,通过映象劫持将大部分安全软件重定位到ntsd -d，当用户运行这些软件时会自动运行系统ntsd；vbblrxdrwk
vbblrxdrwk
| Quote: | DrvAnti.exevbblrxdrwk
avp.comvbblrxdrwk
avp.exevbblrxdrwk
runiep.exevbblrxdrwk
PFW.exevbblrxdrwk
FYFireWall.exevbblrxdrwk
rfwmain.exevbblrxdrwk
rfwsrv.exevbblrxdrwk
KAVPF.exevbblrxdrwk
KPFW32.exevbblrxdrwk
nod32kui.exevbblrxdrwk
nod32.exevbblrxdrwk
Navapsvc.exevbblrxdrwk
Navapw32.exevbblrxdrwk
avconsol.exevbblrxdrwk
webscanx.exevbblrxdrwk
NPFMntor.exevbblrxdrwk
vsstat.exevbblrxdrwk
KPfwSvc.exevbblrxdrwk
Ras.exevbblrxdrwk
RavMonD.exevbblrxdrwk
mmsk.exevbblrxdrwk
WoptiClean.exevbblrxdrwk
QQKav.exevbblrxdrwk
QQDoctor.exevbblrxdrwk
EGHOST.exevbblrxdrwk
360Safe.exevbblrxdrwk
iparmo.exevbblrxdrwk
adam.exevbblrxdrwk
IceSword.exevbblrxdrwk
360rpt.exevbblrxdrwk
360tray.exevbblrxdrwk
AgentSvr.exevbblrxdrwk
AppSvc32.exevbblrxdrwk
autoruns.exevbblrxdrwk
avgrssvc.exevbblrxdrwk
AvMonitor.exevbblrxdrwk
CCenter.exevbblrxdrwk
ccSvcHst.exevbblrxdrwk
FileDsty.exevbblrxdrwk
FTCleanerShell.exevbblrxdrwk
HijackThis.exevbblrxdrwk
Iparmor.exevbblrxdrwk
isPwdSvc.exevbblrxdrwk
kabaload.exevbblrxdrwk
KaScrScn.SCRvbblrxdrwk
KASMain.exevbblrxdrwk
KASTask.exevbblrxdrwk
KAVDX.exevbblrxdrwk
KAVPFW.exevbblrxdrwk
KAVSetup.exevbblrxdrwk
KAVStart.exevbblrxdrwk
KISLnchr.exevbblrxdrwk
KMailMon.exevbblrxdrwk
KMFilter.exevbblrxdrwk
KPFW32.exevbblrxdrwk
KPFW32X.exevbblrxdrwk
KPFWSvc.exevbblrxdrwk
KRegEx.exevbblrxdrwk
KRepair.comvbblrxdrwk
KsLoader.exevbblrxdrwk
KVCenter.kxpvbblrxdrwk
KvDetect.exevbblrxdrwk
KvfwMcl.exevbblrxdrwk
KVMonXP.kxpvbblrxdrwk
KVMonXP_1.kxpvbblrxdrwk
kvol.exevbblrxdrwk
kvolself.exevbblrxdrwk
KvReport.kxpvbblrxdrwk
KVScan.kxp.vbblrxdrwk
KVSrvXP.exevbblrxdrwk
KVStub.kxp.vbblrxdrwk
kvupload.exevbblrxdrwk
kvwsc.exevbblrxdrwk
KvXP.kxp...vbblrxdrwk
KvXP_1.kxp.vbblrxdrwk
KWatch.exevbblrxdrwk
KWatch9x.exevbblrxdrwk
KWatchX.exevbblrxdrwk
MagicSet.exevbblrxdrwk
mcconsol.exevbblrxdrwk
mmqczj.exevbblrxdrwk
KAV32.exevbblrxdrwk
nod32krn.exevbblrxdrwk
PFWLiveUpdate.exevbblrxdrwk
QHSET.exevbblrxdrwk
RavMonD.exevbblrxdrwk
RavStub.exevbblrxdrwk
RegClean.exevbblrxdrwk
rfwcfg.exevbblrxdrwk
RfwMain.exevbblrxdrwk
rfwsrv.exevbblrxdrwk
RsAgent.exevbblrxdrwk
Rsaupd.exevbblrxdrwk
safelive.exevbblrxdrwk
scan32.exevbblrxdrwk
shcfg32.exevbblrxdrwk
SmartUp.exevbblrxdrwk
SREng.exevbblrxdrwk
symlcsvc.exevbblrxdrwk
SysSafe.exevbblrxdrwk
TrojanDetector.exevbblrxdrwk
Trojanwall.exevbblrxdrwk
TrojDie.kxpvbblrxdrwk
UIHost.exevbblrxdrwk
UmxAgent.exevbblrxdrwk
UmxAttachment.exevbblrxdrwk
UmxCfg.exevbblrxdrwk
UmxFwHlp.exevbblrxdrwk
UmxPol.exevbblrxdrwk
UpLive.exevbblrxdrwk
procexp.exevbblrxdrwk
OllyDBG.exevbblrxdrwk
OllyICE.exevbblrxdrwk
rfwstub.exevbblrxdrwk
RegTool.exevbblrxdrwk
rfwProxy.exevbblrxdrwk
RawCopy.exevbblrxdrwk
CCenter.exevbblrxdrwk
regedit.exevbblrxdrwk
filemon.exevbblrxdrwk
regmon.exevbblrxdrwk
AntiArp.exevbblrxdrwk
taskmgr.exevbblrxdrwk
GFUpd.exevbblrxdrwk
GFRing3.exevbblrxdrwk
GuardField.exe |
|
vbblrxdrwk
在%SystemRoot%\system32目录下释放驱动文件******，调用SCM写注册表，将驱动程序******注册成与驱动文件同名的服务，通过相关API函数启动被注册的服务，驱动加载成功后，使用API函数DeleteFileA删除驱动文件******；驱动的作用是恢复SSDT表使部分安全软件监控失效，以及关闭安全软件进程。vbblrxdrwk
vbblrxdrwk
| Quote: | 项：HKLM\SYSTEM\CurrentControlSet\Services\******\vbblrxdrwk
键值：DisplayNamevbblrxdrwk
指向数据： ******vbblrxdrwk
键值：ImagePathvbblrxdrwk
指向文件：%SystemRoot%\system32\******vbblrxdrwk
键值：Startvbblrxdrwk
指向数据：03 |
|
vbblrxdrwk
遍历进程查找Explorer.exe，申请内存空间将动态库msosdohs**.dll写入，通过相关API函数激活病毒代码进行代码注入；之后向驱动程序msosmsfpfis64.sys发送控制信息用来保护自身；遍历进程查找xy2.exe（大话西游2）是否存在，如果存在把自己注入其中，之后使用函数ReadProcessMemory读取游戏信息；打开数据文件msosdohs.dat，读取其中的盗号者信息，通过HTTP协议将木马所截获信息发送到盗号者收信空间中。vbblrxdrwk
vbblrxdrwk
开启一线程遍历进程查找以上进程使用驱动程序将其关闭；在%SystemRoot%\system32目录下释放动态库wininnet.nls，修改文件属性为只读、隐藏和系统；使用API函数LoadLibraryA加载动态库wininnet.nls；以批处理的形式将病毒原文件删除；vbblrxdrwk
vbblrxdrwk
wininnet.nls加载运行后，试图通过全局钩子将动态库wininnet.nls注入到所有进程中；使用ping命令查看网络是否连通，如果连通则使用API函数URLDownloadToFileA将其他病毒程序下载到本地并运行。 |
