Worm.Win32.DownLoad.jz - 瑞星卡卡安全论坛bbs.ikaka.com

瑞星卡卡安全论坛技术交流区 反病毒/反流氓软件论坛 Worm.Win32.DownLoad.jz

	瑞星“1+2”全新解决方案巡展在广州画上圆满句号		叶院长揭秘：瑞星如何运用AI技术革新网络安全		俄乌冲突加剧网络攻击风险白俄罗斯政府遭APT攻击		瑞星ESM防病毒系统助力矿业大学筑牢网络安全防线
	实力拉满瑞星第四十七次通过VB100测评		携手老友，拥抱新精彩 —— 新论坛新活动，感谢你的陪伴		护航司法，瑞星助力山西省高院构建安全防线		人工智能在网络安全领域的风险和机遇

1

1 / 1 页

跳转页

[原创] Worm.Win32.DownLoad.jz

豪斯登堡新郎社区嘉宾帖子:4234 注册: 2007-11-09 来自:	发表于： 2008-11-02 23:02 \| 显示全部短消息资料字号：小中大 1楼 Worm.Win32.DownLoad.jz 文件: 1102cs12.exe 大小: 38400 字节 MD5: 3375D8825625C5F94CC65E2775AD3DF7 SHA1: A843F4A4C19A0345E7FA2676D42224382C57C006 CRC32: 7463DA39 加壳类型: PECompact 编写工具: Delphi 简单行为分析: 为自身进程提升SeDebugPrivilege权限; 释放病毒副本: 引用: %windir%\system32StopAor.exe %system32%\Contxt.dat 修改注册表破坏显示所有文件和文件夹: 引用: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue:00000000 添加注册表启动项: 引用: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\XMouie :"%windir%\system32StopAor.exe"; 遍历进程试图结束并在注册表HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下添加键值映像劫持以下进程其"Debugger=%windir%\system32StopAor.exe",: 引用: 360rpt.exe 360Safe.exe 360tray.exe adam.exe adffgh785v.exe AgentSvr.exe AoYun.exe appdllman.exe AppSvc32.exe auto.exe AutoRun.exe autoruns.exe avgrssvc.exe AvMonitor.exe avp.com avp.exe CCenter.exe ccSvcHst.exe cross.exe Discovery.exe FileDsty.exe FTCleanerShell.exe guangd.exe HijackThis.exe IceSword.exe iparmo.exe Iparmor.exe isPwdSvc.exe kabaload.exe KaScrScn.SCR KASMain.exe KASTask.exe KAV32.exe KAVDX.exe KAVPFW.exe KAVSetup.exe KAVStart.exe kernelwind32.exe KISLnchr.exe KMailMon.exe KMFilter.exe KPFW32.exe KPFW32X.exe KPFWSvc.exe KRegEx.exe KRepair.COM KsLoader.exe KVCenter.kxp KvDetect.exe KvfwMcl.exe KVMonXP.kxp KVMonXP_1.kxp kvol.exe kvolself.exe KvReport.kxp KVSrvXP.exe KVStub.kxp kvupload.exe kvwsc.exe KvXP.kxp KWatch.exe KWatch9x.exe KWatchX.exe loaddll.exe logogo.exe MagicSet.exe mcconsol.exe mmqczj.exe mmsk.exe NAVSetup.exe niu.exe nod32krn.exe nod32kui.exe pagefile.exe pagefile.pif PFW.exe PFWLiveUpdate.exe QHSET.exe Ras.exe Rav.exe RavMon.exe RavMonD.exe RavStub.exe RavTask.exe RegClean.exe regedit.Exe regedit32.Exe rfwcfg.exe RfwMain.exe rfwProxy.exe rfwsrv.exe RsAgent.exe Rsaupd.exe runiep.exe safelive.exe scan32.exe SDGames.exe servet.exe shcfg32.exe SmartUp.exe sos.exe SREng.exe symlcsvc.exe SysSafe.exe taskmgr.exe TNT.Exe TrojanDetector.exe Trojanwall.exe TrojDie.kxp TxoMoU.Exe UFO.exe UIHost.exe UmxAgent.exe UmxAttachment.exe UmxCfg.exe UmxFwHlp.exe UmxPol.exe UpLive.EXE WoptiClean.exe Wsyscheck.exe XP.exe zxsweep.exe ~.exe 关闭带以下字眼的窗口: 引用: FireWall Virus Anti 超级巡警 NOD32 Sniffer DeBug 获取自身下载列表文本联网下载病毒木马并于%Documents and Settings%内运行: 引用: http://txt.50nb.com/update/update.txt 下载列表: 引用: http://u1.snia-com.cn/hou/xin/a4.exe a4.exe http://u1.snia-com.cn/hou/xin/a1.exe a1.exe http://u1.snia-com.cn/hou/xin/a3.exe a3.exe http://u1.snia-com.cn/hou/xin/a16.exe a16.exe http://u1.snia-com.cn/hou/xin/a5.exe a5.exe http://u1.snia-com.cn/hou/xin/a6.exe a6.exe http://u1.snia-com.cn/hou/xin/a7.exe a7.exe http://u1.snia-com.cn/hou/xin/a17.exe a17.exe http://u1.snia-com.cn/hou/xin/a8.exe a8.exe http://u1.snia-com.cn/hou/xin/a19.exe a19.exe http://u1.snia-com.cn/hou/xin/a9.exe a9.exe http://u1.snia-com.cn/hou/xin/a10.exe a10.exe http://u1.snia-com.cn/hou/xin/a11.exe a11.exe http://u1.snia-com.cn/hou/xin/a23.exe a23.exe http://u1.snia-com.cn/hou/xin/a18.exe a18.exe http://u3.snia-com.cn/hou/xin/a12.exe a12.exe http://u3.snia-com.cn/hou/xin/a21.exe a21.exe http://u3.snia-com.cn/hou/xin/a13.exe a13.exe http://u3.snia-com.cn/hou/xin/a14.exe a14.exe http://u3.snia-com.cn/hou/xin/a22.exe a22.exe http://u3.snia-com.cn/hou/xin/a15.exe a15.exe http://u3.snia-com.cn/hou/xin/a20.exe a20.exe http://u3.snia-com.cn/hou/xin/a2.exe a2.exe http://u3.snia-com.cn/hou/xin/vip.exe vip.exe http://u3.snia-com.cn/hou/xin/vip2.exe vip2.exe http://u3.snia-com.cn/hou/xin/aaa.exe aaa.exe 手工处理方法: 下载冰刃http://www.onlinedown.net/soft/53325.htm; 修改文件名后运行,在进程中查找原文件进程和system32StopAor.exe并结束; 删除文件: 引用: %windir%\system32StopAor.exe %system32%\Contxt.dat 删除注册表: 引用: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\XMouie 修复IFEO映像劫持(工具有很多); 修改注册表: 引用: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue:00000001 注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。　　　　 %Windir% 　　　　　　　　　　 WINDODWS所在目录　　　　 %DriveLetter%　　　　　　　　逻辑驱动器根目录　　　　 %ProgramFiles%　　　　　　　系统程序默认安装目录　　　　 %HomeDrive% 　　　　　　　　　当前启动的系统的所在分区　　　　 %Documents and Settings% 　　　当前用户文档根目录　　　　 %Temp% 　　　　　　　　　　　　\Documents and Settings 　　　　　　　　　　　　　　　　　　　 \当前用户\Local Settings\Temp 　　　　 %System32% 　　　　　　　　　　系统的 System32文件夹　　　　　　　　 Windows2000/NT中默认的安装路径是C:\Winnt\System32 　　　　 windows95/98/me中默认的安装路径是C:\Windows\System 　　　　 windowsXP中默认的安装路径是C:\Windows\System32 另:该方法不能清理下载并运行的其他木马群; 用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; MAXTHON 2.0) 本帖被评分 1 次本帖被评分 1 次不认识我没关系，因为我也不认识你。
豪斯登堡新郎社区嘉宾帖子:4234 注册: 2007-11-09 来自:	分享到：

<<上一主题|下一主题>>

1

1 / 1 页

跳转页

页面顶部

Powered by Discuz!NT