感染U盘的病毒setup.pif autorun.inf的解决办法


解决方案:

  由于病毒会在%SYSTEM%下生成WINL0GON.exe这么一个病毒文件，所以只清理U盘上的病毒文件是无效的.病毒文件WINL0GON.exe进程管理工具看得到(注意与系统的winlogon.exe想区别,目录不同,图标不同).



清除方法（注意操作顺序）：

插入U盘，右键单击U盘选择“打开”，然后打开任务管理器结束掉WINL0GON.exe进程，然后删除U盘中的setup.pif和autorun.inf文件.

病毒对一些注册表键值做了修改，不过没什么大碍，不用理会，下面两条是病毒增加的注册表值，需要你将其删除：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DISTRIBUTED_LINK_TRACKING_CLIENT_LOGGER
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Distributed Link Tracking Client logger

病毒是通过Upack加壳过的,故有些杀毒软件是查不到的.



清除隐藏病毒文件全过程


选择“显示隐藏文件”这一选项后，发现U盘有个文件闪出来一下就马上又消失了，而再打开文件夹选项时，发现仍就是“不显示隐藏文件”这一选项。而且刚发现点击C、D等盘符图标时会另外打开一个窗口!

病情描述

1、无法显示隐藏文件;

2、点击C、D等盘符图标时会另外打开一个窗口;

3、用winrar查看时发现C、D等根目录下有autorun.inf和tel.xls.exe两个文件;

4、任务管理器中的应用进程一栏里有个莫明其妙的kill;

5、开机启动项中有莫明其妙的SocksA.exe。

解决办法

以下整个过程中不要双击硬盘分区，需要打开时用鼠标右键—>打开。

一、关闭病毒进程

在任务管理器应用程序里面查找类似kill等你不认识的进程，右键—>转到进程，找到类似SVOHOST.exe(也可能就是某个svchost.exe)的进程，右键—>结束进程树。

二、显示出被隐藏的系统文件

开始运行输入regedit找到


HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL



删除CheckedValue键值，单击右键 新建—>Dword值—>命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。
三、删除病毒

在分区盘上单击鼠标右键—>打开，看到每个盘跟目录下有autorun.inf 和tel\.xls\.exe 两个文件，将其删除，U盘同样。

四、删除病毒的自动运行项

开始—>运行—>msconfig—>启动—>删除类似sacksa.exe、SocksA.exe之类项，或者打开注册表运行regedit


HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft> Windows>CurrentVersion>Run



删除类似C:\ WINDOWS\system32\SVOHOST.exe 的项。
五、删除遗留文件

C:\ WINDOWS\ 跟 C:\ WINDOWS\system32\ 目录下删除SVOHOST.exe(注意系统有一个类似文件，图标怪异的那个类似excel的图标的是病毒)session.exe、sacaka.exe、SocksA.exe以及所有excel类似图标的文件，每个文件夹两个，自己注意不要误删。重启电脑后，基本可以了。




   综合手段清除流氓软件8749病毒解决方案

8749病毒每次入侵后生成的病毒程序是随机的，不同的电脑中毒后会发现不同的病毒程序。病毒还破坏了安全模式，并监视注册表键，即使您使用金山毒霸的AV终结者专杀工具，也不能在病毒运行时，修复被破坏的安全模式，造成手工解除病毒非常困难。

金山毒霸已经紧急升级了有关8749病毒的特征库，需要将金山毒霸查毒和金山清理专家的文件粉碎器结合使用，将病毒清除掉。金山清理专家也正在紧急升级中，升级后，可顺利将8749病毒清除。已经受8749病毒困扰的用户，可参考以下步骤修复系统。

1.使用金山毒霸检查系统盘，毒霸会提示病毒文件的位置，这时记录下病毒的具体路径。

2.使用金山清理专家，在百宝箱中调出文件粉碎器，将这几个文件添加到删除列表，点界面上的彻底删除。

3.立即重启电脑，使用金山清理专家修复被病毒破坏的注册表，修复被病毒添加的加载项。

4.下载AV终结者专杀工具修复被破坏的安全模式。

5.右键单击我的电脑，选择属性，点击“系统还原”标签页，把禁用的勾去掉。建议至少要选择保护C分区，在系统遇到紧急故障时，利用系统还原可以减少恢复系统的成本。

“马吉斯（Worm.Magistr）”病毒专杀工具
点击放大工具名称：“马吉斯（Worm.Magistr）”病毒专杀工具
软件版本：1.0
软件大小：320KB
应用平台：Windows平台
更新时间：2007-06-12
发布时间：2007-06-12




病毒名称: Worm.Magistr.g

病毒是由C语言编写的感染型病毒，感染后缀名为EXE的32位PE可执行程序，病毒源的大小为40KB。

病毒源文件为boot.exe，由用户从U盘上提取。

病毒源文件流程:

boot.exe运行后检查自己是否在驱动器根目录下，如不是退出。

检查是否存在"C:\WINNT\linkinfo.dll",如果不存在则建立该文件。
检查驱动文件是否存在，如不存在则生成驱动文件%SystemRoot%\system32\drivers\IsDrv118.sys(加载后删除)，并调用ZwSetSystemInformation加载驱动。

装载该dll，然后查找病毒调用序号为101的导出函数。

DLL流程:

DLL被装载时：

1、获得系统sfc.dll中的SfcIsFileProtected函数地址，以便在感染时调用以防止感染受系统保护的文件。
2、获取系统的linkinfo.dll(%system32%目录下)的下列导出函数，使自己导出的同名函数指向正常的linkinfo.dll中正确的函数，以便转接这些函数。

ResolveLinkInfoW
ResolveLinkInfoA
IsValidLinkInfo
GetLinkInfoData
GetCanonicalPathInfoW
GetCanonicalPathInfoA
DisconnectLinkInfo
DestroyLinkInfo
CreateLinkInfoW
CreateLinkInfoA
CompareLinkInfoVolumes
CompareLinkInfoReferents

3、检查自己是否在explorer.exe进程中，如不是则启动病毒主线程。

4、启动病毒主线程

病毒首先通过VMWare后门指令检查是否是在VMWare下运行，如果是直接重启机器，以此来防止自己在虚拟机中被运行。

生成名称为"PNP#DMUTEX#1#DL5"的互斥量，以保证只有一个实例在运行。

然后开始启动各工作线程

5、工作线程1(生成窗口和消息循环)

生成隐藏的窗口和消息循环，并通过调用RegisterDeviceNotificationA注册设备通知消息，当发现插入可移动磁盘时，向可移动磁盘写入病毒源boot.exe。

6、工作线程2(遍历并感染所有磁盘)

从"C:\"开始感染所有磁盘中后缀名为"exe"的文件。

病毒在感染时，不感染"QQ"、"winnt"和"windows"目录下的程序文件，并通过调用SfcIsFileProtected来检查是否为系统文件，如是则不感染。
同时，病毒不感染以下程序：

wooolcfg.exe
woool.exe
ztconfig.exe
patchupdate.exe
trojankiller.exe
xy2player.exe
flyff.exe
xy2.exe
大话西游.exe
au_unins_web.exe
cabal.exe
cabalmain9x.exe
cabalmain.exe
meteor.exe
patcher.exe
mjonline.exe
config.exe
zuonline.exe
userpic.exe
main.exe
dk2.exe
autoupdate.exe
dbfsupdate.exe
asktao.exe
sealspeed.exe
xlqy2.exe
game.exe
wb-service.exe
nbt-dragonraja2006.exe
dragonraja.exe
mhclient-connect.exe
hs.exe
mts.exe
gc.exe
zfs.exe
neuz.exe
maplestory.exe
nsstarter.exe
nmcosrv.exe
ca.exe
nmservice.exe
kartrider.exe
audition.exe
zhengtu.exe

7、工作线程3(禁止其它病毒、破坏卡卡助手和感染网络)

枚举进程，如果进程的程序文件名(包括目录)是如下程序(常见的病毒程序)，将终止该进程

realschd.exe
cmdbcs.exe
wsvbs.exe
msdccrt.exe
run1132.exe
sysload3.exe
tempicon.exe
sysbmw.exe
rpcs.exe
msvce32.exe
rundl132.exe
svhost32.exe
smss.exe
lsass.exe
internat.exe
explorer.exe
ctmontv.exe
iexplore.exe
ncscv32.exe
spo0lsv.exe
wdfmgr32.exe
upxdnd.exe
ssopure.exe
iexpl0re.exe
c0nime.exe
svch0st.exe
nvscv32.exe
spoclsv.exe
fuckjacks.exe
logo_1.exe
logo1_.exe
lying.exe
sxs.exe

病毒通过修改卡卡助手的驱动"%system32%\drivers\RsBoot.sys"入口，使该驱动在加载时失败。

枚举网络资源，并尝试对网络资源中的文件进行感染。

枚举并尝试向局域网中计算机的隐藏共享文件夹"%s\\IPC$"、"C$"等写入名称为"setup.exe"的病毒源文件，尝试连接时使用"Administrator"作为用户名，并使用下列密码尝试。

password1
monkey
password
abc123
qwerty
letmein
root
mypass123
owner
test123
love
admin123
qwer
!@#$%^&*()
!@#$%^&*(
!@#$%^&*
!@#$%^&
!@#$%^
!@#$%
asdfgh
asdf
!@#$
654321
123456789
12345
admin

8、工作线程4(修改host文件并下载)
备份host文件为host.txt，并下载文件代替。
查找系统html文件的关联程序，启动并注入dll以便穿过防火墙的拦截。
尝试连接以下地址并下载文件
http://top.cn372*****rg/c.asp
http://top.cn37****rg/top.dat


9、工作线程5(监视并禁止其它病毒)

通过调用驱动获得新生成的进程，如果进程的文件是指定程序(见工作线程3)，终止该进程


驱动：

该驱动加载后首先通过替换 SDT 的中的函数地址挂钩
ZwSaveKey
ZwQueryDirectoryFile
ZwClose
ZwEnumerateKey
ZwLoadDriver
...
等 API 来保护病毒的注册表键值不被发现和修改，并隐藏病毒文件（boot.exe, linkinfo.dll, nvmini.sys等）,
以及禁止一些安全软件的驱动加载。

然后，驱动创建一个名为 DL5CProc 的设备。用户进程可以通过 ioctl = 25270860 来获得最后一个创建进程的进程 ID。
这个进程 ID 是通过调用 PsSetCreateProcessNotifyRoutine 得到的通知获得。

该驱动还会通过 PsSetLoadImageNotifyRoutine 设置映像加载通知，如果加载的映像文件在以下子目录中：
COMMON FILES, WINDOWS\SYSTEM32, WINNT\SYSTEM32
并且名为：
DLLWM.DLL
WININFO.RXK
RICHDLL.DLL
WINDHCP.DLL
DLLHOSTS.DLL
NOTEPAD.DLL
RPCS.DLL
RDIHOST.DLL
RDFHOST.DLL
RDSHOST.DLL
LGSYM.DLL
RUND11.DLL
MDDDSCCRT.DLL
WSVBS.DLL
CMDBCS.DLL
UPXDHND.DLL
该驱动会通过修改物理内存修改模块入口是这些模块返回失败，无法成功加载。这些动态库多是一些盗密码的
病毒以及Worm.Viking的动态库，所以被 Magister 感染的系统不会再感染这些病毒。

被感染的文件:

病毒感染文件时，会将原文件最后一个节增大，将病毒代码写入被感染文件的代码节，修改入口点指向病毒代码并保存原来的入口点地址，然后将被覆盖的原来文件的代码、病毒的dll、sys文件压缩保存在文件最后一个节中增大的地方。被感染的文件运行时，病毒代码先被运行，释放C:\WINNT\linkinfo.dll和%SystemRoot%\system32\drivers\IsDrv118.sys并加载，然后调用linkinfo.dll的序号为101的函数。病毒代码最后会恢复原文件被覆盖的代码并跳回原文件的入口开始运行原来的文件。

[attach]5288[/attach]


“MSN机器人”专杀工具

工具名称：MSN机器人
　　　　　专杀工具
软件版本：2007.6.2.5
软件大小：245k
软件性质：免费
应用平台：WinXP
“MSN机器人”（Worm.MsnBot.h）病毒正在利用MSN聊天工具疯狂传播，仅6月1日下午短短几小时就有数万用户中招。为此，金山毒霸已发布紧急预警，建议用户立即升级病毒库，下载此专杀工具，并拒绝接收名为photos.zip的压缩包。

[attach]5289[/attach]
工具名称：诺顿误报
　　　　　系统修复工具
软件版本：v1.0
软件大小：1.24M
软件性质：免费
应用平台：WinXP

[attach]5290[/attach]
[attach]5291[/attach]



感染U盘的病毒setup.pif autorun.inf的解决办法


解决方案:

  由于病毒会在%SYSTEM%下生成WINL0GON.exe这么一个病毒文件，所以只清理U盘上的病毒文件是无效的.病毒文件WINL0GON.exe进程管理工具看得到(注意与系统的winlogon.exe想区别,目录不同,图标不同).



清除方法（注意操作顺序）：

插入U盘，右键单击U盘选择“打开”，然后打开任务管理器结束掉WINL0GON.exe进程，然后删除U盘中的setup.pif和autorun.inf文件.

病毒对一些注册表键值做了修改，不过没什么大碍，不用理会，下面两条是病毒增加的注册表值，需要你将其删除：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DISTRIBUTED_LINK_TRACKING_CLIENT_LOGGER
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Distributed Link Tracking Client logger

病毒是通过Upack加壳过的,故有些杀毒软件是查不到的.

[ 本帖最后由 caozhihui 于 2007-10-29 10:53 编辑 ]

MSN病毒 myalbum2007.zip查杀方法及专杀工具下载

中毒用户会向MSN好友发送"Here are my very secret pictures for you.或者"Here are my pictures from my vacation(请接收我的照片)","hmm is this you on the photo?","Nice new photos of me and my friends and stuff"等英文消息，并会传送“Myalbum2007.zip”压缩文件。如果用户接收并运行该文件，就会中毒。

[attach]5299[/attach]
该zip文件解压缩后如下图所示:

[attach]5297[/attach]
运行流程:
该蠕虫运行后,会向Windows目录下复制一个自己zip文件的副本,并且向system32目录下写入一个s开头的Dll文件,并且注册为com组件,这样每次启动计算机,该组件就会自动插入到系统进程并运行,所以用户很难找到并删除该文件,表现现象就是在MSN上疯狂向好友发送病毒文件,大量消耗系统资源和网络带宽.同时该蠕虫连接远程IRC服务器(89.188.16.60),开启并监听20480端口,接受远程控制命令,黑客可以轻易窃取用户计算机内的资料,如果是局域网感染,会造成一个僵尸网络,所以对个人和企业用户危害相当大.
此毒在windows文件夹释放一个Myalbum2007.zip；在system32文件夹释放一个sysprinters.dll。此dll可插入多个应用程序进程。

自动向MSN好友发送以下内容：（并将自己以附件的形式发送，文件名：myalbum2007.zip）
->Here are my very secret pictures for you.
->Here are my pictures from my vacation

->hmm is this you on the photo

->Check out my pics from my workplace.
->Nice new photos of me and my friends and stuff...
->ahh look this is my greatest picture made on vacation 2007, take a look
->Check out my nice photo album.
->hey regarde les tof de notre bande de fous. :
->hey regarde les tof, c'est moi et mes copains entrain de....
->j'ai fais pour toi cet album de photos tu dois le voire
->stp regarde cet album de photos je lai fais specialement pour toi et mes amis.
->mes photos chaudes
->hey kijk eens naar mijn nieuwe foto album
->hey bekijk eens mijn nieuwe foto album
->hmm ben jij dit op de foto ?
->hey kijk ! dit is een lijst van mijn nieuwste fotos !!
->ahh kijk mijn mooiste foto album van vakantie 2007 bekijk ze eens
->kijk dit zijn fotos van mij werkplek!
->hmm ben jij dit op de foto ? Bwm
样本名：photo album-2007.scr

病毒名：
加壳：

文件大小：24,040 字节
MD5:0FF32DD50628FF68087556C83F87A666
SHA1:3B397BE044FECF190F20AF34AC6B76136E09A866
样本名：sysprinters.dll
病毒名：
加壳：

文件大小：52,736 字节
MD5:EE3ED79FFB63344B6E50458B68A7814A
SHA1:15B1E629EF96FF8CBA3FEE127B8ABC8A88B3F9DF
释放的行为
    C:\WINDOWS\myalbum2007.zip
    C:\WINDOWS\system32\sysprinters.dll
修改注册表，注入系统进程(子键是随机的，最好的方法在注册表里搜索 sysprinters.dll，搜到即删除子建)：
1     HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
"system32" = {7D30DB45-64B4-4416-8BF1-EFC97206B84A}
2     HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{2D3F62CC-CA48-435B-8890-9A26DAA5BA75}\InProcServer32
    默认= sysprinters.dll
3     HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{7D30DB45-64B4-4416-8BF1-EFC97206B84A}\InProcServer32 ito%Owd' )
    默认= sysprinters.dll
MSN病毒 myalbum2007.zip查杀流程：
1、打开注册表编辑器，展开：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
删除：system32
展开：HKEY_CLASSES_ROOT\CLSID\
删除{BB009077-4264-4655-B212-FAB1CAF1DE62}（其中的InProcServer32默认值为"sysprinters.dll"）
2、重启系统。
3、删除病毒文件。

[attach]5298[/attach]

[ 本帖最后由 caozhihui 于 2007-10-29 11:00 编辑 ]

同时用30种杀毒软件查毒的方法


在这病毒横行的网络世界里，注重安全的你，最忌讳的就应该是病毒木马的入侵了吧。而病毒木马入侵电脑的一大途径，就是通过伪装或者捆绑网上的各种各样的应用软件来达到感染传播的目的。难道为了安全，我们不再安装应用软件么？没有应用软件的电脑，功能将大打折扣，这当然是不能采取的手段。而安装杀毒软件也可以一定程度上防止病毒的入侵，但是，一个操作系统里，通常只能安装一种杀毒软件，让人不怎么放心。下边，我们将教你如何用30多种杀毒软件为你查毒的方法，相信没有多少病毒木马可以逃过30多种著名的杀毒软件的联合绞杀。

同时用30多种杀毒软件扫描病毒？不会是要我安装30多种杀毒软件吧？那我的电脑还能用么？当然不是，事实上，也不推荐在同一个操作系统中安装两种以上的杀毒软件，因为这样会引起杀毒软件之间的冲突，那么，用30多个杀毒软件来查毒，该怎么做呢？
我们可以通过http://www.virustotal.com/zh-cn/ 这个网站来实现同时用30多种杀毒软件的反病毒引擎来帮你扫描文件的目的。该网站最新有了简体中文的支持，对于英文不感冒的朋友可是个不错的选择哦
VirusTotal 简介
VirusTotal 是一款可疑文件分析服务, 通过各种知名反病毒引擎, 对您所上传的文件进行检测, 以判断文件是否被病毒, 蠕虫, 木马, 以及各类恶意软件感染。
特点：免费, 独立的服务。使用多种反病毒引擎。实时自动更新病毒定义库。每款反病毒引擎都将显示详细的结果。实时全球统计数据。
这份列表为参加 VirusTotal 服务的公司(和它们的反病毒引擎)。来看看有没有你熟悉的？
AhnLab (V3) Aladdin (eSafe) ALWIL (Avast! Antivirus) Authentium (Command Antivirus) Avira (AntiVir) Bit9 (FileAdvisor) Cat Computer Services (Quick Heal) ClamAV (ClamAV) CA Inc. (Vet) Doctor Web, Ltd. (DrWeb) Eset Software (ESET NOD32) ewido networks (ewido anti-malware) Fortinet (Fortinet) FRISK Software (F-Prot) F-Secure (F-Secure) Grisoft (AVG) Hacksoft (The Hacker) Ikarus Software (Ikarus) Kaspersky Lab (AVP) McAfee (VirusScan) Microsoft (Malware Protection) Norman (Norman Antivirus) Panda Software (Panda Platinum) Prevx (Prevx1) Rising Antivirus (Rising) Secure Computing (Webwasher) Softwin (BitDefender) Sophos (SAV) Sunbelt Software (Antivirus) Symantec (Norton Antivirus) VirusBlokAda (VBA32) VirusBuster (VirusBuster)
世界上出名的杀毒软件都有了。卡巴斯基、麦咖啡、诺顿、熊猫等等。连我们中国的瑞星也有了，相信很少有病毒能够逃过这些杀毒软件的联合绞杀。


“MSN幽灵相册”导致僵尸网络　专杀下载



趋势科技中国区网络安全监测实验室（CRTL）7月30日发布中国区中度风险病毒警报，目前有一种名为“MSN幽灵相册”（WORM_IRCBOT.ADU）的后门傀儡病毒正在通过MSN快速蔓延。目前趋势科技中国区网络安全监测实验室已接到近百余起用户的求助电话，预计已有上万的个人用户受到此病毒威胁。

趋势科技提醒大家，用户中招后会不断的通过MSN自动发送病毒文件给MSN上的联络人，而本机可能接受来自远程恶意攻击者的命令，发起对其他计算机系统的网络攻击，而形成僵尸网络。

“MSN幽灵相册”病毒主要通过MSN进行传播，这个傀儡病毒会根据用户的操作系统区域设置，发送不同语言的信息，其中中国地区发送的为汉语拼音信息。发送album、photo、photo_album、images、photos2007_、image0加上随机数，扩展名为scr的附件。趋势科技提醒广大用户，用户在接受来自即时通信工具上传送的文件时，确认文件无误才可以打开。

[attach]5300[/attach]



流氓软件8749再更新　关闭金山清理专家


上周末，流氓软件8749再次更新，新版本针对金山清理专家做了改进，导致金山清理专家运行失败。

以下是新版8749流氓软件的分析报告。

1.保护模块

1.1关闭出现特定字符串的窗口

一些常见安全软件的字符串都在列表，即使用IE打开搜索页面，搜索这些字符，窗口也会被关闭。出问题的时候，用户也无法求助于搜索引擎。当前版本中，被屏蔽的字符列表包含（各版本有所差异）：


360safe
Wopticlean
Kakasetup
ras.exe
金山毒霸
Btbaicai
Wopticlean
360safe
卡卡
IE修复
安全卫士
病毒
流氓
专杀
锁定浏览器
修改
修复
清除
删除
中了百度知道


1.2反金山清理专家(本版新增功能）

关闭KASMain.exe进程

清除SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce下的KASTask

1.3劫持HOST文件

当前版本列表（各版本有所不同）：


125.91.1.20 www.37021.net
125.91.1.20 37021.net
125.91.1.20 5235.net
125.91.1.20 www.5235.net
125.91.1.20 www.7255.com
125.91.1.20 www.2345.com
125.91.1.20 www.9991.com
125.91.1.20 www.haol23.net
125.91.1.20 www.kzdh.com
125.91.1.20 www.qu123.com
127.0.0.1 www.duba.net
127.0.0.1 duba.net
127.0.0.1 bbs.360safe.com
127.0.0.1 www.okbihoo.cn
127.0.0.1 okbihoo.cn


1.4系统DLL注入QQ（病毒启动10分钟之后）

利用LOADLIBRARY在不传入全路径的情况下会先从当前目录尝试读取DLL的特性，在系统目录复制rasadhlp.dll，通过在该DLL的输入目录中添加自己的DLL，以达到随QQ一起启动的目的。

1.5文件占用

以CreateFile打开自己的程序文件，使文件处于被占用的状态。

1.6禁用XP自带的系统还原

在SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore的DisableSR键值改成1。

1.7破坏安全模式

把System\CurrentControlSet\Control\SafeBoot下的所有注册表项都清空

1.8全局钩子INLINE HOOK REGENUMVALUE

5字节的HOT PATCH，由于消息钩子是在窗口出现之后才把对应的DLL加载到内存中的，也就是说在多线程的环境下，该病毒有可能导致程序崩溃。该钩子的作用是隐藏自己在注册表中的启动项

1.9加密文件名，注册表启动项

其算法主要是根据本地C盘信息，根据其2进制值，对编码表的长度求余，获取编码表中对应的字符生成的。根据不同需要，生成规则略有差异。

1.10改写自身程序文件时间

获取kernel32.dll的创建时间修改时间和访问时间，修改自身文件时间与其相一致，逃避根据文件创建时间的检查。

2.功能模块

2.1修改IE，将搜索主页和默认主页修改为http://www.8749.com


Software\Microsoft\Internet Explorer\Search
Software\Microsoft\Internet Explorer\Main


值得注意的是这里使用了慢速概念，在程序运行后的10分钟之后（Sleep函数）才实现这部分功能。和前几个版本有所不同

2.2远程控制（一个非常危险的信号，除了劫持浏览器，被远程控制后，可以带来更严重的影响）

最基本的远程控制模块，包括一个以当前版本号，网络适配器信息和C盘的硬件信息为标记，发送数据包通知服务端在线的模块，以及能够响应服务端命令，下载并执行程序的模块。

2.3自动更新

当版本号与服务端不一致的时候，会自动下载最新版并覆盖原来的版本。

[ 本帖最后由 caozhihui 于 2007-10-29 11:24 编辑 ]

病毒 Virus.Win32.Autorun修改系统时间


在本周冠亚军争居然没有变化，但是在排行榜中又多了几个新面孔，虽然是新面孔，但也同样是几大病毒家族的变种，本质没有什么区别，但是功能确越来越全面，行为也越来越隐秘。

本周我们需要关注的病毒：Virus.Win32.Autorun.fs

病毒表现（X代表任意数字与字母的组合）：

·1.修改系统时间到1980年

·2.写入文件：


C:\Program Files\Common Files\Microsoft Shared\ivsgiih.exe
C:\Program Files\Common Files\System\cjqqsol.exe
C:\Program Files\jmemavf.inf
C:\Program Files\meex.exe



并在每个盘根目录下创建autorun.inf、ounddyh.exe文件，以便每次双击打开磁盘时重复感染。
·3.写入注册表(启动项中)：


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jmemavf
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ounddyh


专家建议：

·1.注意系统时间是否被恶意更改。

·2.在任务管理器中查看是否有陌生的比较可疑的进程存在。

·3.尽快安装杀毒软件并开启实时监控功能。

·4.查看在其它盘符下是否有可疑隐藏文件。

手动查杀方法：

·1.重启计算机进入到安全模式，然后删除以下文件：


C:\Program Files\Common Files\Microsoft Shared\ivsgiih.exe
C:\Program Files\Common Files\System\cjqqsol.exe
C:\Program Files\jmemavf.inf
C:\Program Files\meex.exe


·2.使用鼠标右键打开每个磁盘，删除根目录下的autorun.inf、ounddyh.exe文件（文件是隐藏的，需要显示隐藏文件才可以）。

下周病毒预测：

在下周，大家须注意Backdoor.Win32.Agent.apy病毒，这个病毒可以通过邮件进行传播，所以大家在打开邮件时需要注意，同时在任务管理器中查看是否有可疑进程，可以尝试将可疑进程结束。

专家预防建议：

·1.建立良好的安全习惯，不打开可疑邮件和可疑网站。

·2.现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。

·3.安装专业的防毒软件升级到最新版本，并开启实时监控功能。

·4.为本机管理员帐号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。
[attach]5301[/attach]


破坏力超“熊猫” “小浩”蠕虫技术报告出炉

8月14日，江民科技反病毒中心监测到，一种名为“小浩”蠕虫病毒出现在网络上，该病毒和“熊猫烧香”蠕虫病毒类似，可以感染 *.exe可执行程序，可以通过U盘传播，还会感染各种网页脚本程序，插入带毒网址，但是与“熊猫烧香”蠕虫病毒不同的是，被感染后的*.exe文件将遭到破坏，无法恢复！

　　江民反病毒专家分析该病毒详细技术特征如下：

　　病毒名称：Worm/XiaoHao.a

　　中 文 名：小浩蠕虫

　　病毒类型：蠕虫

　　危害等级：★★★★

　　影响平台：Win 9X/ME/NT/2000/XP/2003

　　病毒运行特征：

　　Worm/XiaoHao.a 蠕虫采用Visual C++6.0 工具编写，并经过UPX工具加壳处理，病毒运行后，会在每个硬盘跟目录下释放病毒文件：

　　c:\xiaohao.exe, 402706字节

　　c:\autorun.inf, 91字节

　　其中xiaohao.exe 文件为病毒主体，该文件运行后搜索全盘扩展名为*.exe 的文件，将自身病毒体写入到正常文件中，从而使原文件成为新的病毒体，被感染后的文件图标为一个表示有“浩”字的图标，当浏览含有被感染病毒文件的窗口时，窗口的标题栏会有已中毒 X14o-H4o's Virus 的字样。

　　由于该病毒采用的是覆盖式写入，因此被感染后的文件无法恢复。

　　并且该病毒进程还会创建iexplore.exe 子进程，利用多个系统漏洞下载木马病毒。

　　另外，在各个硬盘跟目录下释放的autorun.inf 文件是病毒主体的伴生文件，该文件内容如下：

　　[Autorun]

　　open=Xiaohao.exe

　　shellexecute=Xiaohao.exe

　　shell\Auto\command=Xiaohao.exe

　　这样，该病毒就可以利用Windows系统的自动播放功能借助与U盘来传播，当用户在不知情的情况下，双击已感染该病毒的U盘时，就会将病毒传播到新的系统中。

　　该病毒还会搜索全盘中扩展名为*.htm、*.html、*.asp、*.aspx、*.php、*.jsp 的网页脚本文件，向其中插入恶意网址连接，该病毒网址会利用MS06-014、MS06-046、MS07-017 等多个系统漏洞下载并且执行病毒文件http://xiaohao.yona.biz/***.exe ，该文件为病毒体自身。

　　该病毒会将系统时间修改为2005年1月17日，使一些杀毒软件的使用授权失效，病毒还会模拟鼠标操作，企图绕过杀毒软件的主动防御功能。

　　该病毒会将其他未被感染的文件设置成隐藏属性，还会生成文件：c:\Jilu.txt，用以记录被感染的文件和被隐藏的文件。该病毒还会破坏注册表相关键值，使其不能显示隐藏文件，严重影响了电脑的正常使用。

　　据息，该病毒作者还将病毒源代码公开在互联网中，并且还留下了自己的QQ号和博客地址，称“欢迎各位大牛. 来指导我 或者是交流” ，具有明显的技术炫耀性。

[ 本帖最后由 caozhihui 于 2007-10-29 11:29 编辑 ]

Trojan-PSW.Win32.OnLineGames.aft 分析

安天CERT
一、 病毒标签：
病毒名称： Trojan-PSW.Win32.OnLineGames.aft
病毒类型： 木马类
文件 MD5： 5BA48236AC1D5FA1A412C68652EFD5DF
公开范围： 完全公开
危害等级： 3
文件长度： 29,184 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 无
  
二、 病毒描述：

该病毒为盗号木马，专门盗取用户网络游戏的帐号与密码。该病毒运行后复制自身到系统目录，衍生病毒文件，并删除自身。 修改注册表，添加启动项，以达到随机启动的目的。将Dll文件插入到EXPLORER.EXE进程中。通过恶意网站、其它病毒下载传播；需要人为或其它病毒参与才能传播，不具有主动传播能力。但由于盗取用户网络游戏的帐号与密码成功后，其利益性很大；在其利益的驱使下，该病毒及其变种仍然会在一段时期内广泛传播。
  
三、 行为分析：
      
1、文件运行后会释放以下文件
%System%\upxdnd.dll       22,016 字节
%WinDir%\upxdnd.exe       29,184 字节
   
2、新增注册表
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值： "upxdnd"
类型： REG_SZ
值： "C:\WINDOWS\upxdnd.exe"
描述： 添加启动项，以达到随机启动的目的
   
3、设置远程线程来执行upxdnd.dll,在执行时插入到EXPLORER.EXE进程中。在IE打开时，upxdnd.dll会插入到IEXPLORER.EXE中。
   
4、该病毒可通过文件捆绑，网页挂马，其它病毒下载传播；可以盗取用户网络游戏的账号与密码。
   
   
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
Windows2000/NT中默认的安装路径是C:\Winnt\System32，
windows95/98/me中默认的安装路径是C:\Windows\System，
windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%=C:\Documents and Settings\当前用户\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\             WINDODWS所在目录
%DriveLetter%\         逻辑驱动器根目录
%ProgramFiles%\         系统程序默认安装目录
%HomeDrive% = C:\         当前启动的系统的所在分区
%Documents and Settings%\   当前用户文档根目录

四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool免费工具（安天安全管理工具），ATool下载地址:www.antiy.com或http://www.antiy.com/download/index.htm 。

(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程
用ATool强行卸载插入的upxdnd.dll文件

(2) 强行删除病毒文件
%System%\upxdnd.dll       22,016 字节
%WinDir%\upxdnd.exe       29,184 字节

(3)删除病毒添加的注册表项
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值： "upxdnd"
类型： REG_SZ
值： "C:\WINDOWS\upxdnd.exe"

哇``````学习了``````谢谢咯

MSN病毒DCS515610.zip win442.dll 解决

病毒名称：Backdoor.Win32.IRCBot.bam [exe]（Kaspersky）, Backdoor.Win32.IRCBot.agd [dll]（Kaspersky）
病毒别名：W32/Sdbot.worm [exe]（McAfee）
　　　　　 Worm.Win32.MSNPhoto.d [dll]（瑞星）
　　　　　 Win32.Hack.SdBot.55808 [exe]（毒霸）, Win32.Troj.MsnBotT.c.26000 [dll]（毒霸）
病毒大小：68,096 字节
加壳方式：nPack
样本MD5：56fd0c4491c06ed78e392515833c91d5
样本SHA1：d63512173c373a1d44cdad40c765fb16235ef5de
传播方式：通过MSN传播


技术分析
==========


MSN蠕虫病毒变种，根据系统语言向MSN联系人发送诱惑文字消息和带毒压缩包，当联系人接收并打开压缩包中的病毒文件时系统受到感染。

病毒运行后在系统目录生成包含自身的带毒ZIP压缩包：
%Windows%\DCS515610.zip
其中包含病毒文件名为：DCS515610.scr

释放dll注入进程：
%System%\win442.dll

创建ShellServiceObjectDelayLoad启动方式：



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"w32s"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"

[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="win442.dll"

注：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}为一串CLSID，病毒生成的CLSID不固定，如：{26355BB3-F03B-4E56-936F-94E683D0AE84}

根据染毒系统的语言向MSN联系人发送相应文字消息，同时发送带毒压缩包DCS515610.zip：


Qu?usted piensa de este cuadro?
Consegu?a nuevo cuadro de m?la toma una mirada
algunos cuadros de la semana pasada, consideran si usted tiene gusto en ellos.
tiene usted visto este picure todav韆?
Haha, es que usted?
Debo utilizar este cuadro en msn?
Qu?usted piensa en esto?
Was denken Sie an diese?
was denken Sie an dieses picure?
ich glaube, da?ich h溥lich schaue :/
sind hier eine neue Abbildung von mir
einige Abbildungen von der letzten
Woche, sehen, wenn
Sie sie m鰃en
Haha, diese sind
Sie auf dieser Abbildung?
sollte ich diese Abbildung auf msn benutzen?
Was denken Sie an dieses?
Wat denkt u aan dit picure?
ik vind ik lelijk kijk
Een paar beelden van vorige week, zien of houdt u hier van em nieuwe pic van me. :)
Hebt u dit picure nog gezien?:p
Hebt u dit picure nog gezien? :p
Haha, bent u dat op dat beeld? :)
Zou ik dit beeld op msn moeten gebruiken?
Wat denkt u over dit?
que pensez-vous ?ce picure ?
je me sens que je semble laid :/
Voici un nouveau pic de moi
Quelques images de la semaine derni鑢e, voient si vous les aimez
Avez-vous vu ce picure encore ?
Haha, est-vous ce sur cette image ?
Si j'emploient cette image sur le msn ?
Que pensez-vous ?mon image ?
What do you think of this picure? i feel i look ugly :'(
Here's a new pic of me
A few pictures from last week, see if you like em
lool, i just shaved my head, see! :D
ahha, i shaved my friends cat, see :D
Should i use this picture on msn?
What do you think about this?

尝试连接远程IRC：secure.bindshell.info


清除步骤
==========

1. 删除病毒创建的ShellServiceObjectDelayLoad启动方式(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)：



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"w32s"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"

[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="win442.dll"

2. 重新启动计算机

3. 删除病毒文件(如遇提示无法删除文件，到down.45it.com下载费尔木马强制删除器工具进行强制删除)：
%Windows%\DCS515610.zip
%System%\win442.dll
%UserProfile%\new.txt（可能存在）


MSN传播病毒IMG-????.zip explorer.exe 解决

病毒名称：Backdoor.Win32.IRCBot.ahm（Kaspersky）
病毒别名：Trojan.Win32.Agent.yqo（瑞星）
　　　　　 Win32.Hack.SdBot.55808（毒霸）
病毒大小：74,752 字节
加壳方式：
样本MD5：5946bfe3c7782acd72642a37b5a6386a
样本SHA1：6c98511f5c9ead1ef0240fe13c8f9c79d4f7c443
传播方式：通过MSN传播


技术分析
==========


MSN蠕虫变种，向MSN联系人发送不同语言的诱惑文字消息和带毒压缩包，当联系人接收并打开带毒压缩包中的病毒文件时系统受到感染。

病毒运行后复制自身到系统目录：
%Windows%\system\explorer.exe

创建包含自身的带毒ZIP压缩包：
%Windows%\IMG-????.zip
????为四位随机数字，如：


QUOTE:
IMG-0356.zip
IMG-1574.zip
IMG-1715.zip
IMG-3606.zip
IMG-5561.zip
IMG-7352.zip
IMG-7755.zip
IMG-7960.zip
IMG-8530.zip

病毒zip压缩包中包含的病毒文件名固定：img0794-www.photoupload.com

创建启动项：



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Explorer Key"="%Windows%\system\explorer.exe"

在Windows防火墙中添加自身到例外列表：



[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%Windows%\system\explorer.exe"="%Windows%\system\explorer.exe:*:Enabled:Windows Sharing"

设置注册表信息：



[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="7000"

根据染毒系统的语言向MSN联系人发送相应的诱惑文字消息，同时发送带毒压缩包IMG-????.zip诱使联系人接收打开：



ZHE SHI WO DE LUOZHAO :O QING BU YAO FA GEI BIEREN !!.
YI ZHANG WO GEN WO PENGYOU ZUI HAO DE ZHAOPIAN :S !!.
JIESHOU WO DE ZHAO PIAN :> !!.
KAN WO DE ZHAOPIAN :D.
NI HE WO !!! .... QING KAN :D.
kAN BA LI XI ER DUN JIN JIANYU HOU SHI DUO ME QIAOCUI :<.
VOC?TEM QUE VER ESTE RETRATO DE MIM
Voc?viu este? o presidente est?inoperante...........
Estas s鉶 as fotos que eu quis o mostrar:)
?este retrato realmente de voc?? verifica玢o louca do retrato ele para fora
Est鉶 aqui meus retratos confidenciais para somente n髎
Eu estou indo p魊 este retrato de n髎 sobre meu Web site
Eu amo este retrato de nossos amigos :D
Eu cant acredito que este retrato ?voc? |
Queira ver esta foto que eu fiz exame de voc?o outro dia?
hey eu fiz exame deste retrato fresco de mim em f閞ias
ay no ese pelo fue lo mas chistoso...q estabas pensando
jajaja yo me recuerdo cuando tuvistes el pelo asi
oye ponga esa foto en tu myspace como la foto principal
voy a poner esa foto de nosotros en mi blog ya
esa foto de tu y yo la voy a poner en myspace
hola esas son las fotos
jaja debes poner esa foto como foto principal en tu myspace o algo :D
oye voy a agregar esa foto a mi blog ya
jaja recuerda cuando tuviste el pelo asi
oye voy a poner esa foto de nosotros en mi myspace :->
Per favore nessuno lasciare vede le nostre foto
Io ricordo quando abbiamo portato questa foto
Caricher?questa foto al mio myspace adesso
Qui sono il fotos di ci
jaja lei dovrebbe fare quest'il suo pic predefinito sul myspace o qualcosa :D
metta questi fotos in suo pagina myspace
ehi aggiunger?quest'immagine di noi al mio weblog
jaja ricordo quando lei aveva i suoi capelli come questo
ehi metter?quest'immagine di noi sul mio myspace :>
m鯿hten den pics von meinen Ferien sehen?
Wimmern! Blick auf diese alte Abbildung, die ich: fand
he ich zeige Ihnen diese Abbildung von mir 黚erhaupt?
Haha sollten Sie dieses Ihre R點kstellung auf myspace oder etwas pic bilden:D
he werde ich diese Abbildung von uns meinem weblog hinzuf黦en
lol erinnern sich, an als Sie pflegten, Ihr Haar so zu haben
he werde ich diese Abbildung von uns auf mein myspace setzen
wil je fotos zien van mijn vakantie wow!
moet je eens kijken welke foto ik nu gevonden heb
he heb je ooit deze foto laten zien ?
haha you moet die je standaard foto maken op hyves of myspace
hey ik voeg deze foto van ons ff toe op mijn weblog lol
ik kan me nog herrinneren toen je haar zoals dit had
Hey i zet deze foto van ons even op mijn myspace
d閒aut de la reproduction sonore ! regard
?cette vieille image que j'ai trouv閑 : |
mes photos chaudes :D
haha vous devriez rendre ceci votre d閒aut pic sur le myspace ou quelque chose :D
j'ai fais pour toi ce photo album tu dois le voire :p
h?veux tu voir mes image de vacance??
le lol se rappellent quand vous aviez l'habitude d'avoir vos cheveux comme ceci
h?je vais mettre cette image de nous sur mon myspace :>
Check out my nice photo album. :D
wanna see the pics from my vacation? :>
OMG YOU HAVE TO SEE THIS PICTURE!!!! :D
IS THIS REALLY YOU ??? i cant remember who sent it to me...
My friend took nice photos of me.you Should see em loL!
I found these old school pictures... LOL :)
Here are my private pictures for you

尝试连接远程IRC：www.vncsvr.com


清除步骤
==========

1. 删除病毒创建的启动项：



[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Windows Explorer Key"="%Windows%\system\explorer.exe"

2. 重新启动计算机

3. 删除病毒文件：
%Windows%\system\explorer.exe
%Windows%\IMG-????.zip（可能有多个）

4. 删除Windows防火墙例外列表中的“Windows Sharing”项：
该项对应病毒文件：%Windows%\system\explorer.exe

5. 设置注册表信息：


[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control]
"WaitToKillServiceTimeout"="20000"

[ 本帖最后由 caozhihui 于 2007-11-2 12:31 编辑 ]

Worm.Win32.Agent.al病毒手动解决



这只。。。有点象MSN蠕虫，又有点不象。。。。
　　这次可能是壳的原因，过了很多。。

　　瑞星、蜘蛛、偌顿、NOD32、Mcafee等都没报

　　不写分析了，行为技术差不多：

　　生成4个启动项

　　控制Eeplorer和进程管理器,无法对其进行关闭操作

　　会添加注册表,在防火墙那项的忽略项目,饶过防火墙

　　连接64.22.79.126 IRC服务器,监听20733端口,等待黑客命令


　　解决方法：

　　1、断开网络，关闭不需要的进程。

　　2、http://down.45it.com下载sreng2.zip和PowerRmv.com


　　3、打开SREng，检查注册表项，有看到：<Windows Bool Service>

　　这个键名的，记住他指向的启动项后删除。

　　我这里指向的是：WinBool32.exe

　　然后，打开PowerRmv，选上抑制杀灭对象生成，填入：

　　C:\Windows\WinBool32.exe

　　确定。

　　如果不是WinBool32.exe，那么病毒名字你自己变更。

　　4、打开注册表，搜索WinBool32.exe，有找到的话删除。

　　5、重启电脑