瑞星卡卡安全论坛

具体信息是这个帖子的楼主提供的：http://forum.ikaka.com/topic.asp?board=28&artid=8279366

这是经网页传播的木马下载器下载的一堆木马。主体是那个gggg.exe（图1）。
SSM不能结束木马进程（图2），可以用IceSword，先禁止进程创建，再一一结束木马进程，并将插入到正常程序中的病毒模块一一卸除（当然，也可直接结束那些可以结束应用程序进程）。
注：下列病毒模块动态插入explorer.exe（资源管理器）以及其它应用程序进程：
C:\windows\system32\Gjzos.dll
C:\windows\system32\Msxos.dll
C:\windows\system32\LgSyzr.dll
C:\windows\system32\Rav32.dll
具体插入那些应用程序进程，取决于中招后用户运行了那些程序。需用IceSword将应用程序中的病毒模块卸除干净，否则，上述病毒文件不能删除。
接下来，删除病毒文件（图3）。
最后，清理注册表（图4）。

另：
1、Tiny监控到这个gggg.exe感染系统分区以外的.exe，但被我以前设置的防护规则禁止了。还监控到此毒改写hosts文件（也被Tiny的防护规则禁止了）。
2、鉴于system32下的正常系统文件spoolsv.exe已经被病毒文件取代，杀毒后，应将正常系统文件spoolsv.exe拷回system32目录下。
3、据说此毒关闭瑞星杀软。因为我的系统中没有杀软，所以，没观察到这个现象。如果真是这样，请将瑞星杀软的注册表备份重新导入注册表（如果没做瑞星注册表备份或导入后依然不能解决问题，可以考虑重新安装瑞星）。
图1

附件: 155847200738103346.jpg

图2

附件: 155847200738103411.jpg

图3

附件: 155847200738103433.jpg

图4

附件: 155847200738103458.jpg

了解下

替换系统文件???

够狠..

引用:

【独孤豪侠的贴子】替换系统文件??? 够狠.. ………………

我看到的过程是：病毒gggg.exe先删除正常系统文件spoolsv.exe；再将病毒文件spoolsv.exe写入system32目录下。WINDOWS并未报告系统文件被替换。

哦.原来是狸猫换太子.

引用:

【baohe的贴子】 我看到的过程是：病毒gggg.exe先删除正常系统文件spoolsv.exe；再将病毒文件spoolsv.exe写入system32目录下。WINDOWS并未报告系统文件被替换。 ………………

难道这样的操作对文件检控软件也屏蔽啦!

Delphi 编写 应该..

猫叔 样本发到我邮箱一下..

样本
zhz010266@njude.com.cn

群发得了
lymofa@yahoo.com.cn

猫叔用Tiny真是得心应手啊

SSM在哪下哈...知道给个地址.谢了哈

这个瑞星的能杀吗?我这也有好多样本，手工老杀不完

厉害

学习

猫叔这两天辛苦了，连发了两个病毒分析了，学习中。

前两天偶也碰见这个了，学习了！

第一步没懂~!

引用:

【啊a啊我的贴子】第一步没懂~! ………………

第一步显示：那4个红色的病毒进程————SSM结束不了（SSM默认显示将规则禁止但不能结束的进程显示为红色）。
那4个病毒进程，需要用IceSword禁止进程创建后，再用IceSword一一结束之。

学习了..

请问,如果没有监控的防火墙而中了这毒的话,怎么判断系统文件是被改过的?是不是根据修改时间?

引用:

【xzlx3354的贴子】请问,如果没有监控的防火墙而中了这毒的话,怎么判断系统文件是被改过的?是不是根据修改时间? ………………

你指的是那个spoolsv.exe？
最简单的判断是根据图标。
正常系统文件的图标如下图
病毒文件的图标见主帖图3

附件: 155847200738220011.jpg

猫叔你的影子系统
能不能把你的地址给我啊

引用:

【xiaoyueIQ的贴子】猫叔你的影子系统 能不能把你的地址给我啊 ………………

http://www.powershadow.com

猫叔你也用影子系统？
这里不是有人特反对影子系统吗？
你用它是啥感觉？？？？？
说说嘛！！！！！
还行吗？
没啥后遗症吧？？？？？？

引用:

【天月来了的贴子】猫叔你也用影子系统？ 这里不是有人特反对影子系统吗？ 你用它是啥感觉？？？？？ 说说嘛！！！！！ 还行吗？ 没啥后遗症吧？？？？？？ ………………

影子系统的问题（卸净困难）：http://bbs.2dai.com/viewthread.php?tid=544123&extra=page%3D1

此法使用硬盘扇区直接操作，解决影子卸载不净问题。
使用sector editor的操作过程务必谨慎。
误操作可能导致严重后果。
不建议新手使用此法解决影子卸载问题。

猫叔样本给个
tongxu1@163.com

引用:

【baohe的贴子】 我看到的过程是：病毒gggg.exe先删除正常系统文件spoolsv.exe；再将病毒文件spoolsv.exe写入system32目录下。WINDOWS并未报告系统文件被替换。 ………………

在规则中按照图示的方法设置保护，能避免spoolsv.exe被病毒删除吗？


附件: 537873200739110331.jpg