koauolte.exe
MD5:0BD9295821BE565BFAFB675B33B5299E
壳：FSG v2.0
开发：c/c++
检测：FILEMON,REGMON,IDA
操作系统：XPSP3,WINXPSP2,Win2kServer都跑了一下，可能运行环境不全，只是做为参考
劫持并结束安全软件
kavstart.exe
kissvc.exe
kmailmon.exe
kpfw32.exe
kpfwsvc.exe
kwatch.exe
ccenter.exe
ras.exe
rstray.exe
rsagent.exe
ravtask.exe
ravstub.exe
ravmon.exe
ravmond.exe
avp.exe
360safebox.exe
360Safe.exe
Thunder5.exe
结束瑞星防火墙
弹窗
下载文件
命令行：?:\windows\system32\rundll32.exe jiocs.dll+？
【文件】删除koauolte.exe自身
生成名字为%s%d_res.tmp 的文件
打开%TEMP%\6493750_res.tmp（%s%d_res.tmp）
创建%TEMP%\svDE.tmp
.tmp文件进行的操作和koauolte.exe基本相同
驱动：?:\windows\system32\drivers\lklosd.sys
对C:\Documents and Settings\All Users\Application Data\Kaspersky Lab\AVP8\Bases\kavbase.kdl进行操作
【创建启动项】004017B9 push offset a360ary ; "360ary"
004017BE push offset SubKey ; "SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\run"
【注册表】QueryValue HKLM\Software\Policies\Microsoft\Windows\Safer\CodeIdentifiers\TransparentEnabled 0x1
QueryValue HKLM\System\CurrentControlSet\Control\Terminal Server\TSAppCompat 0x0
QueryValue HKLM\System\CurrentControlSet\Control\Terminal Server\TSUserEnabled 0x0
QueryValue HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LeakTrack NOTFOUND
QueryValue HKLM\Software\Microsoft\Windows NT\CurrentVersion\Compatibility32\koauolte.exe NOT FOUND
QueryValue HKLM\Software\Microsoft\Windows NT\CurrentVersion\IME Compatibility\koauolte.exe NOT FOUND
QueryValue HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs "SysWoWCvC.dll" CreateKey HKLM\SOFTWARE\Microsoft\Cryptography\RNG
SetValue HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed A0 D7 16 93 D3 4A 41 BC （多次进行）
QueryValue HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\CriticalSectionTimeout 0x278D00
QueryValue HKCU\software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\EnableBalloonTips 0x0
CreateKey HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
QueryValue HKLM\SYSTEM\Setup\SystemSetupInProgress 0x0
QueryValue HKLM\SOFTWARE\Microsoft\Cryptography\Defaults\Provider Types\Type 001\Name "Microsoft Strong Cryptographic Provider"
QueryValue HKLM\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Strong Cryptographic Provider\Type 0x1
QueryValue HKLM\SOFTWARE\Microsoft\Cryptography\Defaults\Provider\Microsoft Strong Cryptographic Provider\Image path "rsaenh.dll"
QueryValue HKLM\Software\Microsoft\Cryptography\MachineGuid "ce9412bf-5d89-4a72-9bc3-6d2855b6c3b6"
QueryValue HKCU\Keyboard Layout\Toggle\Language Hotkey SUCCESS "1"
QueryValue HKCU\Keyboard Layout\Toggle\Layout Hotkey SUCCESS "2"
EnumerateValue HKLM\Software\Microsoft\Windows NT\CurrentVersion\LanguagePack\SURROGATE SUCCESS 0x2
EnumerateValue HKLM\Software\Microsoft\Windows NT\CurrentVersion\LanguagePack NO MORE ENTRIES
==================================================================================
PS：重启后，学校机器的还原被穿。。。(软硬结合，带锁的还原设备)
可疑文件如下
C:\WINDOWS\system32\mfdesy.dll
C:\WINDOWS\system32\tdffdl.dll
C:\WINDOWS\system32\zefdst.dll
C:\WINDOWS\system32\ddserh.dll
C:\WINDOWS\system32\rfdswc.dll
C:\WINDOWS\system32\cdwqfs.dll
C:\WINDOWS\system32\wrqszl.dll
C:\WINDOWS\system32\jfrwdh.dll
C:\WINDOWS\system32\sgrefg.dll
C:\WINDOWS\system32\midimapwd.dll
C:\WINDOWS\system32\midimapgj.dll
C:\windows\system32\soft13.ext
C:\windows\system32\SysWoWCvC.dll
C:\WINDOWS\system32\d32dx9.sys
C:\WINDOWS\system32\Check_Pack.dll
C:\WINDOWS\system32\3DES.dll
找不到驱动
SMTDEL重启删除,进入SMTDEL启动条目后，停止，不能继续删除文件
建议修复安全模式，恢复钩子和HOOK，再进行删除
在我实验的机器上，SRENG只能改名然后命令行扫描，否则会重启
不完整解决方案：（系统盘NTFS格式）结束进程koaulte.exe和其它可疑进程（冰刃,RKU,PSNULL等）
在该EXE文件所在目录下，建立批处理XXX.BAT并运行
内容如下
attrib koaulte.exe -s -h -r
del koaulte.exe
md koaulte.exe
cacls koaulte.exe /d administrators
清除IFEO AppInit_DLLs 项使用SRENG编辑为空
删除注册表中启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,360ary指向"%windir%\system32\koauolte.exe"（其它品种的不同启动项也需要清除）
其它启动项目需要分析报告来清除
使用XDELBOX等强力删除工具，讲可疑文件路径全部拷贝，XDELBOX中右键-剪贴板导入不检查路径
再右键重启立刻删除
重启进入XDELBOX的启动项目开始删除
删除后还是要用SRENG检查IFEO是否已经清除，没清掉一条一条删除或者用置顶帖里的工具如果中毒已深，需要再全盘用杀毒软件扫描一下
