全新AV终结者 携新技术灭杀软没商量（make by ZZY)

神啊！救救我吧

强病毒AV终结者新的变种

专业的人做专业的事情，强病毒AV终结者又有了新的变种！而且似乎强到了逆天！居然可以Ring3级技术来删除AV软件的关键程序，汗颜。不过俗话说"魔高一尺，道高一丈"，金山的病毒专家铁军还是找到了对付的办法，下面演示给大家哈。
7 ]- W( n" p3 q2 l! i+ F9 `; q" J截获最新的AV终结者，该变种采用ring3级hook技术直接删除杀毒软件，劫持众多网站，阻止杀毒软件更新。专杀程序紧张制作中，测试通过会及时发布，老版本AV终结者专杀运行后会自动升级。

2 M5 V% u9 D; D( H+ y* E) H以下是详细分析报告：
* {' o. [( ]+ k病毒名： Win32.Troj.AvKiller.hd.212992
病毒利用WH_CALLWNDPROC类型的挂钩将自身注入其他进程
2 `. j4 s. @( D- J  e* w1 o8 W**释放文件**
C:＼WINDOWS＼system32＼nfxphzn.jbt 该文件为kernel32.dll的拷贝
c:＼WINDOWS＼system32＼yqia.btl 该文件为病毒自身的拷贝
# Y7 U  B5 @8 p$ f2 `9 E' `**下载文件**
; K0 g" k  ~1 \w3.hao5555.com/v3/pic.bmp
. y, r% D8 f8 fw3.hao5555.com/v3/Riched32.dll
( u' e; q# K# U$ V+ ?w3.hao5555.com/v3/search.asp
w3.hao5555.com/bd.dll
**修改的注册表**
9 o' b6 D% V( F7 C$ Z; ~[HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼ShellServiceObjectDelayLoad]
& K' B$ C9 z1 ~  E) z" N, a"xphz"="{1b5f93d7-93d7-0a4e-4e82-93d71b5f93d7}"
9 h5 F& a. ?" c" {9 c; {7 a( Y[HKEY_CLASSES_ROOT＼CLSID＼{1b5f93d7-93d7-0a4e-4e82-93d71b5f93d7}＼InprocServer32]
@="C:＼＼WINDOWS＼＼system32＼＼yqia.btl"
"ThreadingModel"="Apartment"
[HKEY_CURRENT_USER＼Software＼Policies＼Microsoft＼Windows＼System]
, B- P# P$ g$ d5 f5 w4 ]"DisableCMD"=dword:00000001
) @8 f" Z& ?7 s4 H5 R**挂接函数**
% B! a/ `+ m5 ], g/ y8 |0 uRegEnumValueA
* R: F6 @' w2 k+ y) t: y& `RegEnumValueW -- 目的为隐藏病毒添加的注册表键值
CreateFileA
CreateFileW -- 目的为保护病毒释放的文件
**卸载组件**
regsvr32.exe /u /s wshom.ocx
& F' z! K+ G$ m' k9 N  e病毒自身通过nfxphzn.jbt来调用CreateFileA和CreateFileW函数
! Y0 L9 v# j% P" s9 d
[ 本帖最后由 神啊！救救我吧 于 2007-10-8 18:55 编辑 ]