东方微点-yb体育官方

捕获时间

2008-11-20

病毒摘要

该样本是使用“ vc”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“winupack”加壳方式试图躲避特征码扫描,加壳后长度为“9,700 字节”，图标为，使用“exe”扩展名，通过“网页木马”、“移动存储介质”、“压缩包感染”、“ 局域网传播”等途径植入用户计算机，运行后下载其他木马程序到本地运行。

感染对象

windows 2000/windows xp/windows 2003

传播途径

网页木马、文件捆绑、移动存储介质

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“病毒”，请直接选择删除处理（如图1）；

       图1 主动防御自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"worm.win32.autorun.icz”，请直接选择删除（如图2）。

       图2   升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭u盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取yb亚博全站首页的技术支持。
4、开启windows自动更新，及时打好漏洞补丁。

病毒分析

该样本程序被执行后，修改自身文件属性为“隐藏”与“系统”；删除目录%systemroot%\system32\下“mfc71.dll”文件，%programfiles%\kingsoft\
kingsoft internet security 2008\下“kasbrowsershield.dll”文件；修改系统时间年份为2004；调用系统“cacls.exe”命令提升下列文件与文件夹权限，赋予“everyone”用户完全控制权限：

加载操作系统sfc功能动态连接库文件“sfc_os.dll”，查找其五号函数并调用，去除对“beep.sys”系统文件的保护,修改系统“beep.sys”文件，成功后启动“beep”服务实现对“beep”服务的替换，驱动加载后恢复系统ssdt表，解除计算机杀软的主动防御，达到自身保护的目的，成功后关闭此服务，恢复“beep.sys”文件，遍历查找下列安全软件进程，找到后尝试关闭进程：

遍历查找下列服务，一旦找到尝试停止服务：

移动%systemroot%\system32\下“wuauclt.exe”文件，到%systemdrive%下，名称改为“tttmm.tep”,移动成功后，拷贝自身为“wuauclt.exe”文件到%systemroot%\system32\与%systemroot%\system32\dllcache\目录下，并开启“wuauclt.exe”进程；隐藏方式调用运行“iexplore.exe”进程，并向其进程内存空间中注入恶意可执行代码，达到运行中访问下列指定网络的效果，自动下载相应
木马到%programfiles%目录下，名称为“1.pif”,“2.pif”,“3.pif”,“4.pif”,“5.pif” ,“6.pif”,“7.pif”,“8.pif”,“9.pif”,“10.pif”；%systemdrive%\ documents and settings\下“def.pif”，下载成功后自动运行：

添加注册表启动项，达到开机自启动目的：

修改注册表破坏显示所有文件和文件夹，达到隐藏自身目的：

删除注册表破坏安全模式，阻止用户进入安全模式：

在注册表hklm\software\microsoft\windows nt\currentversion\image file execution options\下添加下列项,达到劫持大部分安全软件的目的：

不断遍历查找磁盘，创建“autorun.inf”文件，设置文件属性为“隐藏”与“系统”，并拷贝自身名为“hbbp.pif”的文件,“autorun.inf”文件内容如下：

不断遍历带下列文字的窗口，一旦找到尝试发送信息关闭窗口：