12   1  /  2  页   跳转

[原创] 关于病毒 l9.exe

关于病毒 l9.exe

样本来自:http://bbs.janmeng.com/thread-801100-1-1.html
l9.exe运行后释放下列文件:
system32\drivers\xxxxx.sys(x代表5位随机字母)
system32\yyyyyy.dll(y代表6位随机数字字母组合),此dll通过rundll32.exe加载运行,监视键盘输入。
system32\zzzzzz.bat(z代表6位随机数字字母组合)。此.bat删除l9.exe及自身。
病毒文件的创建时间全部取windows某次更新的时间(本系统为2008-4-14)。
l9.exe运行后在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services分支添加驱动项。项名为xxxxx(x代表5位随机字母,指向:system32\drivers\xxxxx.sys)

SRENG日志可见病毒驱动项。

病毒在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\分支添加一个随机7位字母组合的键名(本次为oyklruz),本次添加的具体内容为:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\oyklruz
"manyc"=hex:2d,9e,6e,b8,de,15
"pchwxqc"=dword:05ff2480
"rxexom"=hex:ab,5a,cc,86,1b,48
"xnro"=dword:d7466c9c

根据SRENG日志,可用IceSword强制删除system32\drivers\xxxxx.sys,没有问题。难的是如何辨认出病毒文件system32\yyyyyy.dll

我用SSM监控l9.exe运行,能发现system32目录下的yyyyyy.dll以及system32\drivers目录下的xxxxx.sys(见图1红字)。


有了SSM的这些监控信息,用IceSword处理此毒就比较容易了。

1、强制删除病毒驱动.sys


2、强制删除病毒库文件.dll



3、重启系统。删除病毒添加的服务项。删除病毒在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\分支添加随机7为键名。


这类病毒较难处理。如果没有工具软件的监控记录,那个病毒.dll很难发现。因此,这类病毒应着眼于防。

用户系统信息:Opera/9.52 (Windows NT 5.1; U; zh-cn)
本帖被评分 1 次
最后编辑baohe 最后编辑于 2008-09-26 18:14:15
分享到:
gototop
 

回复:关于病毒 l9.exe

N久没有看见猫叔的K毒贴了!
gototop
 

回复:关于病毒 l9.exe

猫又开始试毒玩了

现在的毒,基本上都这些样式

一般性的小工具帮不上忙了
gototop
 

回复:关于病毒 l9.exe

现在的毒..

可说越来越强大了..

杀毒软件也得要越来越强大...
gototop
 

回复:关于病毒 l9.exe

要预防此病毒应该如何做呢?
夫唯不争故天下莫能与之争

海纳百川,有容乃大,
壁立千仞,无欲则刚。
gototop
 

回复:关于病毒 l9.exe

..强..
时间过得好快。。。。
gototop
 

回复:关于病毒 l9.exe

猫老大,这个驱动和dll是挂接在进程system下,也可通过Processexplorer查看system下挂接的sys和dll将其句柄结束后,就可以手动删除这个sys和dll,重启电脑即可。
gototop
 

回复: 关于病毒 l9.exe



引用:
原帖由 networkedition 于 2008-9-27 8:39:00 发表
猫老大,这个驱动和dll是挂接在进程system下,也可通过Processexplorer查看system下挂接的sys和dll将其句柄结束后,就可以手动删除这个sys和dll,重启电脑即可。


这个毒的难点不在杀,而在于如何找到、确认那个病毒dll。
如果是被动中招,且杀软不报,用户要有耐心且要花一定时间才能搞掂那个病毒dll。
gototop
 

回复: 关于病毒 l9.exe



引用:
原帖由 IAI 于 2008-9-27 1:28:00 发表
要预防此病毒应该如何做呢?


瑞星主防的“系统加固”设置中有“安装驱动”和“加载驱动”两个选项。勾选这两个选项并选择“提示”。

此外,“系统加固”设置里面的“系统目录”和“系统驱动目录”两个选项也要勾选并选择“提示”。
最后编辑baohe 最后编辑于 2008-09-27 09:27:34
gototop
 

回复:关于病毒 l9.exe

现在的病毒做的是相当的麻烦 手动处理特别的不容易 不过我喜欢用PE+瑞星听诊器(前题是系统还能正常的运行且没有劫持项存在)启动PE后将文件及驱动清理了 再慢慢清理注册表就欧了
gototop
 
12   1  /  2  页   跳转
页面顶部
Powered by Discuz!NT