服安最新信息资讯

服安资讯热点推荐

服安资讯阅览排行

信息安全法律法规

服务器安全技术资讯

服安解决方案

您当前的位置是：服务器安全资讯网>反病毒>病毒查杀>

IO.pif新变种分析及查杀方案

来源：中国服务器安全网时间:2007-09-28 作者：点击：次责任编辑：Flyfox
TAG: IO.pi f新变种分析查杀方案服务器安全应急处理中心:让您的服务器更安全! 进入安全讨论社区

摘要:

病毒要想彻底防治，就必须要了解病毒的原理，笔者将给大家详细介绍 IO.pif的样本分析过程……

IO.pif新变种分析及查杀方案

File: IO.pif

　　Size: 19456 bytes

　　MD5: 90C509FA6A6C2FA798DBE1CFD7F0E4F1

　　SHA1: DBF721F48369CFBB2B88D0F5D707924A7FE185EC

　　CRC32: 9822E714

　　生成如下文件：

%Program Files%\Common Files\Services\svchost.exe
　　%system32%\DirectX10.dll

　　在每个分区下面生成一个autorun.inf和IO.pif

　　达到通过U盘等移动存储传播的目的

　　调用Cmd利用net stop命令停止以下服务

mcshield
　　Norton Antivirus Auto Protect Service
　　Windows Firewall/Internet Connection Sharing (ICS)
　　System Restore Service

　　结束如下进程

       regedit.exe
　　taskgmr.exe
　   360tray.exe
　   360safe.exe

噬菌体

　　木马克星

　　WoptiClean.exe

　　EGHOST.exe

　　Iparmor.exe

　　MAILMON.EXE

　　KAVPFW.exe

　　RogueCleaner.exe

　　顺序查找以下注册表键值

?.S-1-5-21-1801674531-1645522239-725345543-1003\Software\JetCar\JetCar\General的AppPath键值
　　SOFTWARE\Thunder Network\ThunderOem\thunder_backwnd里面的Path键值
　　?.Software\Microsoft\Windows\CurrentVersion\App Paths\MSMSGS.EXE
　　?.Software\Microsoft\Windows\CurrentVersion\App Paths\IEXPLORE.EXE
　　?.Software\TENCENT\PLATFORM_TYPE_LIST\1 的TypePath键值

　　以分别获得网际快车，迅雷，MSN，IE，QQ的安装路径

　　如果查找到了那么即启动相应的文件

　　(查找方式为顺序查找，如果查找到安装了网际快车，则启动网际快车，不再往下查找)

　　启动相应的文件以后把自身注入到该进程空间之中，连接网络，下载木马。

　　http://*.cn/hz/1.exe~http://*.cn/hz/20.exe

　　到%Program Files%\Internet Explorer\PLUGINS下面

　　命名为随机8位字母和数字组合。

　　木马植入完毕以后主要生成如下文件(包括但不限于)

%Program Files%\Internet Explorer\PLUGINS\SysWin64.Jmp
　　%Program Files%\Internet Explorer\PLUGINS\WinSys64.Sys
　　%Program Files%\NetMeeting\avpms.dat
　　%Program Files%\NetMeeting\avpms.exe
　　%Program Files%\NetMeeting\rav*mon.dat(*为随机两位字母)
　　%Program Files%\NetMeeting\rav*mon.exe(*为随机两位字母)
　　%systemroot%\ifc222.dll
　　%systemroot%\qiji.dll
　　%systemroot%\rx.dll
　　%systemroot%\sourro.exe
　　%systemroot%\winlogor.exe
　　%systemroot%\Winnt.exe
　　%SystemRoot%\intent.exe

　　以及以下这些随机7位字母组合文件名的一些盗号木马

%system32%\avwlain.dll
　　%system32%\avwlamn.dll
　　%system32%\avwlast.exe
　　%system32%\avzxain.dll
　　%system32%\avzxamn.dll
　　%system32%\avzxast.exe
　　%system32%\kaqhacs.dll
　　%system32%\kaqhcaz.exe
　　%system32%\kaqhczy.dll
　　%system32%\kvdxacf.dll
　　%system32%\kvdxbis.exe
　　%system32%\kvdxbma.dll
　　%system32%\kvmxacf.dll
　　%system32%\kvmxcis.exe
　　%system32%\kvmxcma.dll
　　%system32%\rsjzafg.dll
　　%system32%\rsjzapm.dll
　　%system32%\rsjzasp.exe
　　%system32%\rsmyafg.dll
　　%system32%\rsmyapm.dll
　　%system32%\rsmyasp.exe

大话西游II
　　魔域
　　完美世界
　　机战
　　华夏
　　魔兽世界
　　问道
　　征途
　　热血江湖
　　奇迹世界
　　QQ

　　下载的木马有禁止自动更新和微软的防火墙的作用

　　并且会把时间修改成2099年1月1日

　　sreng日志反映如下：

　　启动项目

　　注册表

　　[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]

        <w><%SystemRoot%\WinRaR.exe>      [N/A]
        <wm><%SystemRoot%\winlogor.exe>      []
        <wl><%SystemRoot%\intent.exe>      [N/A]
        <mm><%SystemRoot%\sourro.exe>      []
        <zx><%SystemRoot%\winadr.exe>      [N/A]
      [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
        <ravztmon><C:\Program Files\NetMeeting\ravztmon.exe>      []
        <avpms><C:\Program Files\NetMeeting\avpms.exe>      []
        <ravwdmon><C:\Program Files\NetMeeting\ravwdmon.exe>      []
      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
        <{1E32FA58-3453-FA2D-BC49-F340348ACCE1}><C:\WINDOWS\system32\rsmyapm.dll>      []
        <{2C87A354-ABC3-DEDE-FF33-3213FD7447C2}><C:\WINDOWS\system32\kvdxbma.dll>      []
        <{3D47B341-43DF-4563-753F-345FFA3157D3}><C:\WINDOWS\system32\kvmxcma.dll>      []
        <{1960356A-458E-DE24-BD50-268F589A56A1}><C:\WINDOWS\system32\avwlamn.dll>      []
        <{12FAACDE-34DA-CCD4-AB4D-DA34485A3421}><C:\WINDOWS\system32\rsjzapm.dll>      []
        <{1859245F-345D-BC13-AC4F-145D47DA34F1}><C:\WINDOWS\system32\avzxamn.dll>      []
        <{37D81718-1314-5200-2597-587901018073}><C:\WINDOWS\system32\kaqhczy.dll>      []

      ==================================
      正在运行的进程
      [PID: *][C:\WINDOWS\Explorer.EXE]
        [C:\WINDOWS\system32\avwlamn.dll]      [N/A, ]
        [C:\WINDOWS\system32\rsmyapm.dll]      [N/A, ]
        [C:\WINDOWS\system32\kvdxbma.dll]      [N/A, ]
        [C:\WINDOWS\system32\kvmxcma.dll]      [N/A, ]
        [C:\WINDOWS\system32\rsjzapm.dll]      [N/A, ]
        [C:\WINDOWS\system32\avzxamn.dll]      [N/A, ]

共2页: 上一页

1 2 下一页

顶一下

(0)

0%

踩一下

(0)

0%