瓢虫病毒实战

然后向右 发表于 2007-12-26 09:49:25

金山毒霸2008官方介绍的技术资料看上去很美，实际面对病毒时，又怎么样呢？打算搞个病毒体验一把。病毒样本是在某论坛得到的小瓢虫，这个病毒差不多同时具备熊猫烧香和AV终结者病毒的特性，所有感染后的EXE会变成绿色瓢虫图标，病毒会修改很多系统配置，采用映像劫持或其它方式强行关闭杀毒软件。 测试环境： winxp sp2，金山毒霸2008官方下载版（病毒库12.5） <img alt="" src="http://images13.51.com/135/b/18/bc/fengjingxian011/1198134887_0.37174800.jpg" border="0"/><div style="FONT-SIZE: 12px;"> 测试步骤： 1.先看一眼这个瓢虫 <img alt="" src="http://images13.51.com/103/a/18/bc/fengjingxian011/1198134887_0.35845900.jpg" border="0"/> 2.试一下金山毒霸2008能否被瓢虫病毒干掉，特意关闭了金山毒霸的升级功能，测试的结果是金山毒霸、网镖、清理专家全部安然无恙。中毒后，重启系统，金山毒霸仍然运行正常，病毒劫持毒霸的目的未达到。 3.中毒后的现象，初学者可能只有格式化重装一条路。 a)控制面板不见了 <img alt="" src="http://images13.51.com/131/c/18/bc/fengjingxian011/1198134887_0.39812400.jpg" border="0"/> 有时，病毒的BUG无法完全隐藏控制面板，打开控制面板的项目时，报如下错误： <img alt="" src="http://images13.51.com/118/a/18/bc/fengjingxian011/1198134887_0.38125200.jpg" border="0"/> b)任务管理器、注册表编辑器被锁 <img alt="" src="http://images13.51.com/119/a/18/bc/fengjingxian011/1198134887_0.40375800.jpg" border="0"/> 运行regedit时，提示： <img alt="" src="http://images13.51.com/108/a/18/bc/fengjingxian011/1198134887_0.36531700.jpg" border="0"/> c) 所有磁盘被完全共享，这个是病毒使用net share命令实现的，病毒会尝试共享所有驱动器。 <img alt="" src="http://images13.51.com/110/a/18/bc/fengjingxian011/1198135159_0.97310200.jpg" border="0"/> d)瓢虫还在每个磁盘根目录创建了三个快捷方式，三个快捷方式都指向病毒程序自身。 e)病毒会感染除系统盘外的EXE程序，不过病毒的感染并不成功，是用覆盖方式实现的，被感染的EXE，一眼就被看出来，程序原有的功能丢失。和熊猫烧香一样，感染的EXE全是瓢虫图标。 f)病毒还有更多修改，具体看该病毒的详细分析： <a href="http://bbs.duba.net/thread-21863367-1-1.html" target="_blank">http://bbs.duba.net/thread-21863367-1-1.html</a> 4.看我用金山毒霸08和清理专家来解决 a)第一步，先尝试升级毒霸，注意看下上面开始测试时，病毒库的版本是12.5，升级到最新后，立即全盘杀毒。同时，可以进行下一步了。 b)使用清理专家的系统修复，查启动项，隐藏已知的安全项之后的结果： <img alt="" src="http://images13.51.com/118/a/18/bc/fengjingxian011/1198135160_0.00090900.jpg" border="0"/> c)再看全面检测，这里省略了很多映像劫持的项目，以使截图清晰，在隐藏了已知的安全项后，可以发现病毒修改了文件关联，添加了一个驱动程序。 <img alt="" src="http://images13.51.com/127/a/18/bc/fengjingxian011/1198135159_0.99049700.jpg" border="0"/> d)现在毒霸08全面查毒已经有结果报告，首先发现了几个恶意软件，明显，小瓢虫运行后，下载安装了更多恶意软件，其中部分特征和AV终结者几乎一样，被判断发现AV终结者。 <img alt="Click here to open new window
CTRL+Mouse wheel to zoom in/out" src="http://images13.51.com/115/a/18/bc/fengjingxian011/1198135160_0.03507500.jpg" width="716" border="0" resized="resized"/> e)全面杀毒的结果报告 <img alt="" src="http://images13.51.com/29/a/18/bc/fengjingxian011/1198135160_0.01478800.jpg" border="0"/> 查看详细日志：（节选） 引用: 实时监控日志 17:16:05病毒在文件C:\WINDOWS\system32\netshare.cmd中BAT.netshart.a.416，处理成功（操作：删除） 17:16:04病毒在文件C:\WINDOWS\system32\Avpser.cmd中 BAT.AvpKill.a.1446，处理成功（操作：删除） 手动杀毒日志 17:29:49D:\SDGames.exeWin32.Troj.Downloader.vb.237568，清除成功 17:29:48C:\SDGames.exeWin32.Troj.Downloader.vb.237568，清除成功 17:18:57C:\WINDOWS\system32\SDGames.exeWin32.Troj.Downloader.vb.237568，清除成功f)毒霸提示重启 <img alt="" src="http://images13.51.com/125/a/18/bc/fengjingxian011/1198135159_0.97734300.jpg" border="0"/> g)重启后，报告抢杀了病毒若干，这个窗口我一时大意，没截下来，看日志吧。都是这个瓢虫下载下来的spyware。 <img alt="Click here to open new window
CTRL+Mouse wheel to zoom in/out" src="http://images13.51.com/25/b/18/bc/fengjingxian011/1198135404_0.09419000.jpg" width="716" border="0" resized="resized"/> h)此时，病毒文件已经被完全清除，但系统的功能并未修复，我们还需要用清理专家来扫尾。 有兄弟要问了，为什么毒霸不一次全搞定呢？ 我很想让毒霸一次全搞定，不过目前来看，还是需要分两步走，记住先杀毒，再修复系统。 再来看启动项，只剩下残留信息，需要一个个选中后，修复掉。 <img alt="" src="http://images13.51.com/132/a/18/bc/fengjingxian011/1198135404_0.08451100.jpg" border="0"/>   例如，修复这个LOAD项，只需要鼠标点击该项，在弹出的如下菜单中，点修复该项。 <img alt="" src="http://images13.51.com/115/a/18/bc/fengjingxian011/1198135404_0.09679000.jpg" border="0"/>   i)全面检查中，映像劫持的残留不能直接修复，看最下面多了一行驱动。可以根据这个提示路径，找到c:\windows\system32\drivers\zrzcutxe.sys。用清理专家粉碎掉，再修复该项。测试中，修复这个驱动，蓝屏了，说明病毒修改驱动，强行对驱动进行操作，会导致蓝屏。 <img alt="" src="http://images13.51.com/112/a/18/bc/fengjingxian011/1198135404_0.07719200.jpg" border="0"/>   j)这个病毒还修改了很多项系统配置，一一修复还是比较困难的，这里用下毒霸客服中心的PAPA工程师提供的批处理，因为CMD也被病毒禁用，PAPA将CMD.EXE改名为PAPA.EXE，写了一个注册表脚本和批处理文件，需要的在论坛下载。 下载地址：<a href="http://bbs.duba.net/attachment.php?aid=16073443" target="_blank">http://bbs.duba.net/attachment.php?aid=16073443</a>，将这个RAR解开放到桌面任意目录，执行papa.bat。 <img alt="" src="http://images13.51.com/129/d/18/bc/fengjingxian011/1198135404_0.07201100.jpg" border="0"/>   执行后： <img alt="" src="http://image5.poco.cn/mypoco/myphoto/20071220/16/4087790120071220165712474_000_640.jpg" border="0"/> k)重启发现两个映像劫持的残留，看来是漏掉了2个。 <img alt="" src="http://images13.51.com/116/a/18/bc/fengjingxian011/1198135555_0.20371200.jpg" border="0"/> l)运行注册表编辑器，浏览到HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SDGames.exe和ani.ani，分别点右键，选择删除。 <img alt="" src="http://images13.51.com/122/a/18/bc/fengjingxian011/1198135555_0.20883100.jpg" border="0"/>   至此，这个貌似功能强悍的小瓢虫就被彻底打扫干净，可惜了我D盘上用来测试的这几个EXE，已经全部损坏，只能重新COPY个了。</div>

我是我吗 发表于 2007-12-30 19:13:16

沙发抢一个，lz真强啊。。。。汗

对不起我爱你 发表于 2007-12-30 20:12:15

楼主真强啊，汗，病毒都用来玩了-__-~~!!!

对不起我爱你 发表于 2007-12-30 20:12:40

楼主真强啊，汗，病毒都用来玩了-__-~~!!!

风业是我 发表于 2007-12-30 21:54:49

汗，强帖，保存备用。。。。。将来如果真的中毒了拿来解毒哈哈

妈妈辛苦 发表于 2007-12-30 23:22:27

小瓢虫病毒，真BT啊，不过lz更强，是“瓢虫克星”哈哈哈

上网真好 发表于 2007-12-31 10:05:16

汗，现在的病毒是不是论模块卖啊？感觉都是在搭积木一样。彻底扫除真的花费一般心思啊，赶紧下一个毒霸去：

怀念依旧 发表于 2007-12-31 16:46:03

赳赳发表于 2007-12-31 18:07:04

太强了…这么多图，就冲这个，也要支持楼主一下

好就行 发表于 2008-1-1 09:10:41

收藏了，备用

页: [1] 2

栖息谷-管理人的网上家园's Archiver

瓢虫病毒实战