无耻的随机7位字符名病毒的查杀方法

病毒指纹:

SHA-160             : DA14DDB10D14C568B62176AAB738B0C479A06863
MD5                 : C505733FFDDA0394D404BD5BB652C1A6
RIPEMD-160          : 410EF9736AD4966094C096E57B477B7572B7ED9C
CRC-32              : FF6E4568

病毒大小:43,900 字节

连接网络下载病毒:

输入地址:61.152.255.252
对应地址:上海市电信IDC

在本机随机生成如下病毒文件:

meex.com、rmwaccq.exe、wojhadp.exe、nqgphqd.exe、autorun.inf

下载运行如下文件:

1A11.exe、2B12.exe、3C13.exe、2B12.exe

随机生成hiv文件进行进程互守

破坏安全模式;

.Upack:00408184 s_SystemControl db 'SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}',0
.Upack:00408184                                              ; DATA XREF: sub_407CF4+6B o
.Upack:004081D9                      align 4
.Upack:004081DC s_T                  db 0FFh,0FFh,0FFh,0FFh,'T',0
.Upack:004081E2                      align 4
.Upack:004081E4 s_SystemContr_0 db 'SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}',0
.Upack:004081E4                                              ; DATA XREF: sub_407CF4+7A o
.Upack:00408239                      align 4
.Upack:0040823C s_X                  db 0FFh,0FFh,0FFh,0FFh,'X',0
.Upack:00408242                      align 4
.Upack:00408244 s_SystemCurrent db 'SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}',0
.Upack:00408244                                              ; DATA XREF: sub_407CF4+89 o
.Upack:0040829D                      align 10h
.Upack:004082A0 s_X_0                db 0FFh,0FFh,0FFh,0FFh,'X',0
.Upack:004082A6                      align 4
.Upack:004082A8 s_SystemCurre_0 db 'SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}',0
.Upack:004082A8                                              ; DATA XREF: sub_407CF4+98 o
.Upack:00408301                      align 4
.Upack:00408304                      dd 0FFFFFFFFh, 0Ch

破坏隐藏文件选项:
.Upack:0040830C s_Checkedvalue       db 'CheckedValue',0          ; DATA XREF: sub_407CF4+A7 o
.Upack:00408319                      align 4
.Upack:0040831C s_Q                  db 0FFh,0FFh,0FFh,0FFh,'Q',0
.Upack:00408322                      align 4
.Upack:00408324 s_SoftwareMicro db 'software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall',0

开启自动播放;

.Upack:00408524 s_SoftwareMic_4 db 'SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer',0
.Upack:00408524                                              ; DATA XREF: sub_407CF4+201 o
.Upack:00408560 ; char s_Nodrivetypeau[]
.Upack:00408560 s_Nodrivetypeau db 'NoDriveTypeAutoRun',0 ; DATA XREF: sub_407CF4+21A o

关闭并禁用AVP、wuauserv、wscsvc'、RsRavMon、RsCCenter、RSPPSYS服务

.Upack:004085CC ; char s_SystemCurre_5[]
.Upack:00408600 s_SystemCurre_6 db 'SYSTEM\CurrentControlSet\Services\RSPPSYS',0
.Upack:00408600                                            ; DATA XREF: sub_407CF4+2D9 o
.Upack:0040862A                    align 4
.Upack:0040862C ; char s_SystemCurre_7[]
.Upack:0040862C s_SystemCurre_7 db 'SYSTEM\CurrentControlSet\Services\RsCCenter',0
.Upack:0040862C                                            ; DATA XREF: sub_407CF4+30F o
.Upack:00408658 ; char s_SystemContr_1[]
.Upack:00408658 s_SystemContr_1 db 'SYSTEM\ControlSet001\Services\RsCCenter',0
.Upack:00408658                                            ; DATA XREF: sub_407CF4+345 o
.Upack:00408680 ; char s_SystemContr_2[]
.Upack:00408680 s_SystemContr_2 db 'SYSTEM\ControlSet001\Services\RsRavMon',0
.Upack:00408680                                            ; DATA XREF: sub_407CF4+37B o
.Upack:004086A7                    align 4
.Upack:004086A8 ; char s_SystemContr_5[]
.Upack:004086A8 s_SystemContr_5 db 'SYSTEM\ControlSet001\Services\wscsvc',0
.Upack:004086A8                                            ; DATA XREF: sub_407CF4+3B1 o
.Upack:004086CD                    align 10h
.Upack:004086D0 ; char s_SystemContr_3[]
.Upack:004086D0 s_SystemContr_3 db 'SYSTEM\ControlSet001\Services\wuauserv',0
.Upack:004086D0                                            ; DATA XREF: sub_407CF4+3E7 o
.Upack:004086F7                    align 4
.Upack:004086F8 ; char s_SystemContr_4[]
.Upack:004086F8 s_SystemContr_4 db 'SYSTEM\ControlSet002\Services\AVP',0
.Upack:004086F8                                            ; DATA XREF: sub_407CF4+41D o

对N多的安全工具、系统程序以及杀毒软件做映像劫持(IFEO)

由于太多就不列出了,和以前的病毒样本劫持的一样,具体可以参见好友余弦函数的文章。

解决方法

使用procexp.exe暂停病毒两个进程,运行里面键入“system32”后按时间排列图标找到病毒文件后删除:

重命名autoruns打开找到映像劫持项只保留Your Image File Name Here without a path项其他全部删除

打开acdsee删除每个盘符下的病毒文件和autorun.inf脚本切忌不要使用右键的打开和资源管理器,

[AutoRun]
open=nqgphqd.exe
shell\open=打开(&O)
shell\open\Command=nqgphqd.exe
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=nqgphqd.exe

修复安全模式和隐藏文件的注册表如下(将如下文件保存为reg文件双击导入注册表):

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}]
@="DiskDrive"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Type"="radio"
"CheckedValue"=dword:00000001

病毒用脚本插入了这两个常规命令,由于病毒生成的文件名随机,而且进程标识符(PID)也是随机变化的,所以只能够贴图来写解决方法了。

(0)

相关推荐

  • 无耻的随机7位字符名病毒的查杀方法

    病毒指纹: SHA-160             : DA14DDB10D14C568B62176AAB738B0C479A06863 MD5                 : C505733FFDDA0394D404BD5BB652C1A6 RIPEMD-160          : 410EF9736AD4966094C096E57B477B7572B7ED9C CRC-32              : FF6E4568 病毒大小:43,900 字节 连接网络下载病毒: 输入地址:61

  • 威金变种病毒的查杀方法

    近来,威金变种病毒肆虐,不少人中招后被迫格式化所有分区,苦心保存的数据毁于一旦. 中了这种病毒的特征是:系统响应缓慢,玩网络游戏时会自动退出,硬盘里的EXE文件图标会变"花":到dos下用ghost恢复系统失败:如果不全盘格式化,重装系统也不能解决问题. 今天有幸遇到感染此种病毒的电脑,在机主几乎绝望的情况下清除了病毒,挽救了他多年积累的数据. 现在,偶把此次杀毒的过程贴上来,供遇到类似问题的网友参考. 清除病毒的步骤如下: 一.结束病毒进程,删除病毒的启动项. 1.开机按F8键,进安

  • recycle.exe(Trojan-Dropper.Win32.VB.rj)病毒的查杀方法

    一.病毒描述:         病毒通过U盘传播,运行后复制自身到系统目录并释放一个灰鸽子木马.为增强隐蔽性,生成的病毒文件有回收站和安         装程序两种图标. 二.病毒基本情况:         病毒名称:Trojan-Dropper.Win32.VB.rj         病毒别名:无         病毒类型:病毒         危害级别:3         感染平台:Windows         病毒大小:458,752(字节)         SHA1 :b86e4197

  • 关于Rising病毒的查杀

    svchost.exe   这又是什么病毒?  还有变种的病毒  [AutoRun]  open=rising.exe  shellexecute=rising.exe  shell\Auto\command=rising.exe  还有一个rising.exe  谁能彻底的解决这个问题呢?就连瑞星的官方网都没解决这个问题呢. 关于Rising病毒的查杀最新版本可查杀绝大多数变种rising病毒,无需进入安全模式.请各位 到网站的主页 http://www.easysofts.com.cn 下载

  • 最新病毒变种sxs.exe及xeklsk.exe(柯南病毒)查杀方法

    通过u盘传播的病毒sxs.exe威力向来很大,曾经n个计算机被他搞垮~~其变种也日益翻新,花样白出~~机房电脑又中毒了...各盘符下有隐藏的文件,图标是柯南头像的sxs.exe及autorun,病毒系统进xeklsk.exe. 通过文件夹选项不能显示隐藏文件. 经过反复查找,此病毒乃最新变种,网上给出查杀方法的很少~现提供如下,仅作参考: ---- 解决方案: ***提示:杀毒过程中注意盘符不要双击,点鼠标右键"打开"!*** 1.结束进程xeklsk.exe,sxs.exe及其他可疑

  • IO.pif变种分析清除(兼答avzx*,kvdx*,等随机7位字母的dll木马群的方法

    File: IO.pif Size: 19456 bytes MD5: 90C509FA6A6C2FA798DBE1CFD7F0E4F1 SHA1: DBF721F48369CFBB2B88D0F5D707924A7FE185EC CRC32: 9822E714 生成如下文件: %Program Files%\Common Files\Services\svchost.exe %system32%\DirectX10.dll 在每个分区下面生成一个autorun.inf和IO.pif 达到通过U

  • u盘病毒清除 Discovery.exe查杀方法

    这是之前niu.exe病毒的最新变种,最近该病毒的新变种传播又有所抬头,希望大家注意. Quote: File: Discovery.exe Size: 74240 bytes Modified: 2008年2月2日, 0:03:34 MD5: 2DA55F2A36E852EE6FC96D34DD520979 SHA1: 44CE8F1C1A02591A88867F421C0C658B200D94C1 CRC32: E20E292D 1.病毒运行后,衍生如下副本及文件: Quote: %syst

  • 病毒的万能查杀方法第1/2页

    发现病毒,无法清除怎么办? Q:发现病毒,但是无论在安全模式还是Windows下都无法清除怎么办? A:由于某些目录和文件的特殊性,无法直接清除(包括安全模式下杀毒等一些方式杀毒),而需要某些特殊手段清除的带毒文件.以下所说的目录均包含其下面的子目录. 1.带毒文件在\Temporary Internet Files目录下. 由于这个目录下的文件,Windows会对此有一定的保护作用(未经证实).所以对这个目录下的带毒文件即使在安全模式下也不能进行清除,对于这种情况,请先关闭其他一些程序软件,然

  • shualai.exe病毒及手工查杀方法

    这是个利用ANI漏洞传播的木马群,其"动态插入进程"的功能是导致中招后杀毒困难的原因之一. 另:中招后,系统分区以外的.exe全被感染.这也是中此毒后的麻烦之处. 中招后的"症状":进程列表中可见shualai.exe进程. 建议:用SRENG扫份日志保存,以便弄清基本情况,便于后面的手工杀毒操作. 手工查杀流程如下(用IceSword操作): 1.禁止进程创建. 2.根据SRENG日志,先结束病毒进程shualai.exe以及所有被病毒模块插入的进程(病毒插入了哪

  • 记事本U盘病毒 Notepad.exe查杀方法

    特征: 1,运行Notepad.exe后,%SYSTEMROOT%system32建立随机命名文件夹935F0D,释放C:\WINDOWS\system32\935F0D\96B69A.EXE, 2,在%USERPROFILE%「开始」菜单\程序\启动中建立图标为文件夹文件名为空格的快捷方式,指向c:\windows\system32\935f0d\96b69a.exe 3,添加启动到HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,指向c:\

随机推荐