发表于： 2008-11-06 14:11 | 显示全部 短消息 资料
字号： 小 中 大 1楼

瑞星不报

文件: Trojan.exe
大小: 172794 字节
MD5: F338359A32FE59DCC97A51221219E6D2
SHA1: 5B8BAF15A0B78A2B86AA1E3737EBA4AD1CF3D495
CRC32: 3DBA9A9B
加壳类型: N/A
编写语言: Delphi

卡巴斯基:Trojan.Win32.Delf.ftn
金山毒霸:N/A
瑞星:N/A

简单行为分析:

为自身进程提升SeDebugPrivilege权限;

释放病毒副本:


引用:
%system32%\drivers\etc\0iOTBy57.dll
%system32%\sCgcUrIbj3.del
%system32%\sCgcUrIbj3.ini


遍历查询系统服务状态,安装加载服务:


引用:
HKLM\SYSTEM\CurrentControlSet\Services\SRAT_Service: "%system32%\svchost.exe -k netsvcs-->%SystemRoot%\system32\drivers\etc\0iOTBy57.dll";


文件0iOTBy57.dll设置全局挂勾,挂勾函数:


引用:
WH_GETMESSAGE(监控发送到消息队列的消息)
WH_CALLWNDPROC(监控信息·在系统发送它们到目标窗口程序前);




手工清理:

下载冰刃;

全局卸载模块"%system32%\drivers\etc\0iOTBy57.dll";

删除文件:


引用:
%system32%\drivers\etc\0iOTBy57.dll
%system32%\sCgcUrIbj3.del
%system32%\sCgcUrIbj3.ini


删除服务:


引用:
HKLM\SYSTEM\CurrentControlSet\Services\SRAT_Service;



注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
　　　　 %Windir% 　　　　　 　　　　　 WINDODWS所在目录
　　　　 %DriveLetter%　 　　　　　　　 逻辑驱动器根目录
　　　　 %ProgramFiles%　 　 　　　　　 系统程序默认安装目录
　　　　 %HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区
　　　　 %Documents and Settings% 　　　 当前用户文档根目录
　　　　 %Temp% 　　　　　　　　　　　　\Documents and Settings
　　　　　　　　　　　　 　　　　　　　 \当前用户\Local Settings\Temp
　　　　 %System32% 　　　　　　　　　　 系统的 System32文件夹
　　　　
　　　　 Windows2000/NT中默认的安装路径是C:\Winnt\System32
　　　　 windows95/98/me中默认的安装路径是C:\Windows\System
　　　　 windowsXP中默认的安装路径是C:\Windows\System32

用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; MAXTHON 2.0)

附件附件:

您所在的用户组无法下载或查看附件

不认识我没关系，因为我也不认识你。