全新AV终结者 携新技术灭杀软没商量（make by ZZY)

神啊！救救我吧

强病毒AV终结者新的变种

4 |$ ]" m7 \7 \5 S! ?3 Q! f专业的人做专业的事情，强病毒AV终结者又有了新的变种！而且似乎强到了逆天！居然可以Ring3级技术来删除AV软件的关键程序，汗颜。不过俗话说"魔高一尺，道高一丈"，金山的病毒专家铁军还是找到了对付的办法，下面演示给大家哈。
截获最新的AV终结者，该变种采用ring3级hook技术直接删除杀毒软件，劫持众多网站，阻止杀毒软件更新。专杀程序紧张制作中，测试通过会及时发布，老版本AV终结者专杀运行后会自动升级。
6 ?' G, {5 P  V9 |* \
3 G, T2 p* C' Q: I以下是详细分析报告：
! G& q, T) O; ?6 R4 c* b4 t病毒名： Win32.Troj.AvKiller.hd.212992
! w& o9 B1 B2 c# c病毒利用WH_CALLWNDPROC类型的挂钩将自身注入其他进程
**释放文件**
C:＼WINDOWS＼system32＼nfxphzn.jbt 该文件为kernel32.dll的拷贝
" i! a4 {$ B5 l) d  m) n& Fc:＼WINDOWS＼system32＼yqia.btl 该文件为病毒自身的拷贝
, }4 R4 n) \2 E' C' F**下载文件**
w3.hao5555.com/v3/pic.bmp
/ |! [0 D3 r( J! Kw3.hao5555.com/v3/Riched32.dll
w3.hao5555.com/v3/search.asp
w3.hao5555.com/bd.dll
**修改的注册表**
5 M3 H4 R) W+ U7 Q; `: S7 [[HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼ShellServiceObjectDelayLoad]
& i, v! n$ e% I4 D$ r) Q, i"xphz"="{1b5f93d7-93d7-0a4e-4e82-93d71b5f93d7}"
. k1 f6 h6 c  X+ F[HKEY_CLASSES_ROOT＼CLSID＼{1b5f93d7-93d7-0a4e-4e82-93d71b5f93d7}＼InprocServer32]
& u0 j9 n6 M6 R0 r: K' L. L, |7 ?  ~@="C:＼＼WINDOWS＼＼system32＼＼yqia.btl"
) Z. [5 G" _0 v$ s3 y1 w- ]4 f"ThreadingModel"="Apartment"
9 C. d* o/ D* m. K5 J[HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Windows＼System]
"DisableCMD"=dword:00000001
  _& J+ U% P  S/ }& }+ u5 _**挂接函数**
RegEnumValueA
RegEnumValueW -- 目的为隐藏病毒添加的注册表键值
% }8 Y0 e  {3 J. _CreateFileA
9 V4 k% k; v+ |' ~CreateFileW -- 目的为保护病毒释放的文件
* [, a5 |5 w% F**卸载组件**
regsvr32.exe /u /s wshom.ocx
) b/ f3 P+ ?2 O# d病毒自身通过nfxphzn.jbt来调用CreateFileA和CreateFileW函数
) P' t; v% `6 ?" @4 a
[ 本帖最后由 神啊！救救我吧 于 2007-10-8 18:55 编辑 ]