|
|
|||||||||||
|
|||||||||||||
| 当前位置： 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
| U盘病毒Backdoor.Win32.Agent.ahj分析手动解决 | |||
| 2007-8-30 9:24:00 文/海色の月 出处:cisrt | |||
|
病毒别名：New Malware.cx [exe]（McAfee） Worm.Win32.Delf.ysg [exe]（瑞星）, Worm.Win32.Agent.xt [dll]（瑞星） 病毒大小：18,278 字节 样本MD5：279b1eef8707872e245e65199c2b21e5 样本SHA1：5c830dd3dcdbf48390d96dd3982498718974002f 传播方式：恶意网页下载，其它病毒或木马下载，可通过移动存储设备传播 技术分析 ========== 木马运行后释放dll注入进程，在系统目录创建副本，生成文件的文件名不固定，由随机字母和数字组成，比如： %System%\FC00C4C62.EXE %System%\20533128.DLL 创建服务： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{随机字母数字，同显示名}] 显示名：{随机字母数字，同服务名} 描述：{dll文件名} 可执行文件的路径：%System%\FC00C4C6.EXE -k 在各分区根目录下创建副本： X:\auto.exe X:\autorun.inf [AutoRun] open=auto.exe shellexecute=auto.exe shell\Auto\command=auto.exe 如果以auto.exe文件名运行，木马会打开自身所在分区的根目录，降低用户警觉。 修改注册表，破坏系统显示所有文件设置： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue"=dword:00000000 修改注册表，破坏系统错误报告方面的设置： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT] "ReportBootOk"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting] "DoReport"=dword:00000000 "ShowUI"=dword:00000000 删除Error Reporting Service服务： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc] 木马不断重复进行以上修改注册表的操作。 尝试访问网络下载其它病毒、木马或恶意程序。 清除步骤 ========== 1. 重命名木马主程序文件： 系统目录下的随机文件名exe，如： %System%\FC00C4C62.EXE 2. 重新启动计算机 3. 删除木马文件(如遇提示无法删除文件，到down.45its.com下载费尔木马强制删除器工具进行强制删除)： 系统目录下的随机文件名exe和dll，如： %System%\FC00C4C62.EXE %System%\20533128.DLL 4. 通过资源管理器文件夹树形目录进入各分区根目录，删除木马文件： X:\auto.exe X:\autorun.inf 5. 删除木马服务(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\{随机字母数字，同显示名}] 6. 恢复木马修改的注册表信息(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL] "CheckedValue"=dword:00000001 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting] "DoReport"=dword:00000001 "ShowUI"=dword:00000001 7. 删除注册表项目(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)： [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT] "ReportBootOk"=dword:00000001 8. 恢复Error Reporting Service服务： [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc] |
|||
| 关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
|
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |
