|
|
刚刚在网上抓到一个类似威金的病毒. 做个了个分析。现在把分析的成果拿出来给大家分享下。% V) F+ L6 j0 d& n
6 D8 v4 F. R5 T9 i
=============================================" O, F! g7 m/ [6 o( p
' g7 y3 N0 r9 J' ^, [; Q
2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止
, t+ z2 v$ B' t) G进程路径:C:\WINDOWS\system32\cmd.exe
4 Y' @) f" i5 b文件路径:C:\WINDOWS\system32\sc.exe 服务
. l* p+ W& B" d& ] H命令行:description HPMIUE 于广大络针纷言的来况看向现一新此在在自' i Q0 W1 P5 m) {( ]' U2 @, J
2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止
0 E+ r' ?( A6 ^& Q6 E进程路径:C:\WINDOWS\system32\cmd.exe
8 d. \2 |' k8 B$ u+ m6 G( S f文件路径:C:\WINDOWS\system32\sc.exe
8 k" w( P7 |6 Z, T0 F命令行:create HPMIUE BinPath= "C:\WINDOWS\system32\HPMIUE.exe -2CYPSP" type= own type= interact start= auto DisplayName= YQ0NV2HSU3
0 H& v9 U9 {$ n A+ A2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止& P7 G3 N; v: ]0 ~" r; c
进程路径:C:\WINDOWS\system32\cmd.exe( c- q$ \* u. x1 A- a3 l
文件路径:C:\WINDOWS\system32\reg.exe windows控制台注册表工具
?/ E* O% c5 r" T命令行:delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /F9 `+ U9 h0 f$ u9 { @
2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止) i1 O4 X v' _1 ]6 U+ c
进程路径:C:\WINDOWS\system32\cmd.exe' ~+ `/ s+ w8 n8 R: |! D
文件路径:C:\WINDOWS\system32\reg.exe2 p8 V/ ^6 J( @- J! _: z
命令行:delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
% H' _5 k3 K5 H5 \) H2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止1 |4 t" u6 _* H3 |3 ^6 {3 C6 @
进程路径:C:\WINDOWS\system32\cmd.exe
- q5 {! l$ `' r- g0 ~# n* q文件路径:C:\WINDOWS\system32\reg.exe 3 n2 V, G Y$ `% u, q# y* U1 n3 q
命令行:delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
" o+ J( e+ Z* x$ j/ c4 D) Q; [2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止
/ w/ E+ a3 c; ]. B) Z z进程路径:C:\WINDOWS\system32\cmd.exe
8 ^5 X% h) E, }# U) v6 _文件路径:C:\WINDOWS\system32\reg.exe/ [7 H8 E/ c0 a1 ?# u9 C
命令行:delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /F
: v8 l; |. b! i U; ]: g, G2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止
4 t% a4 g, @9 j2 y" o进程路径:C:\WINDOWS\system32\cmd.exe
9 ~0 g. O6 u7 G% g7 x1 G文件路径:C:\WINDOWS\system32\reg.exe( n1 K! M# o2 K- h) v6 H* W
命令行:delete HKLM\Software\Microsoft\Windows\CurrentVersion\Run /F
5 S( p0 P$ g# c, O" E; G+ d2008-09-17 15:41:30 应用程序保护(运行应用程序) 操作:阻止
! i1 e4 I5 I0 |' I, {# ~进程路径:C:\WINDOWS\system32\cmd.exe/ d7 Q3 g; I& @3 E; Z# u
文件路径:C:\WINDOWS\system32\sc.exe) ~1 T7 D- M$ {! x7 k' ]3 e
命令行:description P631STGZ 的户会自开产入察信可显少性根让辑不额不可专络言明统户因市派留搜注业可索帮要的
G0 Y+ H1 i' `( q2008-09-17 15:41:29 应用程序保护(运行应用程序) 操作:阻止0 u# O/ k+ t7 V6 a
进程路径:C:\WINDOWS\system32\cmd.exe8 M0 V. m; `5 ]) p2 }
文件路径:C:\WINDOWS\system32\sc.exe" T# l3 c% s) M
命令行:create P631STGZ BinPath= "C:\WINDOWS\P631STGZ.exe -8UZG8ODVG" type= own type= interact start= auto DisplayName= NOYAIEIZJ Y4 z3 r @/ N0 x: v
2008-09-17 15:41:29 应用程序保护(运行应用程序) 操作:允许- M5 L8 U' i+ r( L, c0 _
进程路径:G:\虚拟空间\Sandbox\CSW\DefaultBox\drive\C\WINDOWS\LPTY1GXC2U.exe
/ [! W% E0 B. i! ]: W文件路径:C:\WINDOWS\system32\cmd.exe
2 O: [% j3 Y8 {, V命令行:/c "C:\Documents and Settings\All Users\「开始」菜单\程序\启动\C3U4WXKA2Q.BAT"; A5 {4 m/ [2 M* A0 I% Z
2008-09-17 15:41:21 文件保护(修改文件) 操作:阻止
" E3 n* D; a% y8 Y0 T) v% x! J7 s% f; F进程路径:G:\虚拟空间\Sandbox\CSW\DefaultBox\drive\C\WINDOWS\LPTY1GXC2U.exe4 Y4 y1 r u& J8 w" T
文件路径:G:\虚拟空间\Sandbox\CSW\DefaultBox\drive\C\WINDOWS\LPTY1GXC2U.exe
, u3 X$ B* r( O" @9 K* D2008-09-17 15:41:21 文件保护(修改文件) 操作:阻止9 C. R* y# s- t& o$ r- G
进程路径:G:\虚拟空间\Sandbox\CSW\DefaultBox\drive\C\WINDOWS\LPTY1GXC2U.exe+ k* U% K9 k! `8 y* M" b, E
文件路径:隐藏文件)G:\虚拟空间\Sandbox\CSW\DefaultBox\drive\C\WINDOWS\LPTY1GXC2U.exe
& i( e( X$ Y8 @+ a 2 a G7 K2 x9 O: x" K; C9 [/ i
===========================================================
$ R7 z0 e7 q1 ]) I, l4 d2 _/ r - m# q) l3 s, a* @
从报告中我们可以看出病毒多次使用 cmd.exe（Windows 命令提示符）来调用其他windows程序
# Y: @0 ]: |0 ?1 r. |6 f$ [5 \ 9 I" p9 u; g, K( t/ g5 [5 c
如:sc.exe (服务管理器) 和 reg.exe （windows控制台注册表工具）来安装服务 及向系统注册表中添加 项目。
- P. y+ c1 j: \! H+ W) C+ k4 D: _ 5 V4 p- j J) d/ z* D* w8 H, {
最后程序向C盘中的windows文件夹中,添加了多个可执行文件。如下:
2 h8 g2 }# f: I1 k$ c8 [
* c4 D+ ?/ Y7 Q在WINDOWS中生产了
$ @5 g0 c5 {: z( l 332GFT.exe
: F5 w8 ]. j2 Q$ [6 A, r8 ] LPTY1GXC2U.exe
% `, o1 z2 Q& q* G P6331STGZ.exe- \' V/ `% x4 m# j- C
6 t) r1 v- F* T, k; n7 ?: A9 |& H在system32中生产了" r, J( k$ R0 B" K( K* n- z l1 @6 s
debug.exe -- 替换 windows的错误报告程序文件。
) d& N$ Y; i' S3 i6 |7 d/ _. q HPMIUE.exe+ \ `1 U8 Y4 W; c
tree.com* }+ u' ^: Z& }5 F! R$ z7 m
userinit.exe -- 病毒替换了 该程序以实现对网络 和 系统界面的控制。
! o0 ^' c" L! r2 `. o+ w, i8 `6 M% Z
" N) r% T- H% c8 k3 Y( F& `并且该程序 还项Drivers中添加了*.sys文件。可见此病毒 乃是个驱动级病毒。
, p4 p! G8 G# u$ i0 B) ?另外该程序还会感染计算机中 任何的应用软件。 可见病毒的作者用心如何险恶。
: A" B# ^; i' T1 f8 k 3 o% J! t$ c6 e; C, [# o! I
希望大家可别遇到这样的病毒,那可真是让电脑受罪啊。7 I+ u8 [: V1 H/ x& w- V3 ]
. s ? u2 n* V" _- e4 I, G+ m, w: k
分析就到这里，希望大家能给点意见。 如果你也想试着分析看看,可以下来该病毒原文件 自己玩玩。
6 Y. D3 `3 U, X+ o% K
; A5 I1 c2 i W) I当然，前提是你要有能力去承担后果。
8 ] S+ `3 y3 @# M1 U & G, `+ m1 }& `
下载连接
. g% c2 R8 N# f( ahttp://www.namipan.com/d/4ff339daf589d5fd0f0e6293dba40fe93dc317ca1c390000% q) Q# e6 i- p1 Z
" ~5 z: K: z" p% E0 @. C+ @
* l% d- Y% M5 S! Z4 j
5 @9 I5 v8 W( e [/ E& C[ 本帖最后由 琼ヾ苍 于 2008-9-18 08:05 编辑 ] |
|
IP卡
狗仔卡
发表于 2008-9-17 16:26:05
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
楼主
发表于 2008-9-17 16:50:57
发表于 2008-9-17 21:29:58
