东方微点-yb体育官方

捕获时间

2009-1-6

病毒摘要

该样本是使用“ vc ”编写的蠕虫程序，由微点主动防御软件自动捕获，采用“upx”加壳方式试图躲避特征码扫描,加壳后长度为 “20,680字节”，图标为“”，使用“exe”扩展名，通过“网页木马”、“文件捆绑”、“移动存储介质”等途径植入用户计算机，运行后下载其他木马到本地运行。

感染对象

windows 2000/windows xp/windows 2003

传播途径

网页木马、文件捆绑、移动存储介质

防范措施

已安装使用微点主动防御软件的用户，无须任何设置，微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本，微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版，微点主动防御软件在发现该病毒后将报警提示您发现“病毒”，请直接选择删除处理（如图1）；

       图1 微点主动防御软件自动捕获未知病毒（未升级）

如果您已经将微点主动防御软件升级到最新版本，微点将报警提示您发现"worm.win32.autorun.jum”，请直接选择删除（如图2）。

       图2 微点主动防御软件升级后截获已知病毒

对于未使用微点主动防御软件的用户，微点反病毒专家建议：
1、不要在不明站点下载非官方版本的软件进行安装，避免病毒通过捆绑的方式进入您的系统。
2、建议关闭u盘自动播放，具体操作步骤：开始->运行->gpedit.msc->计算机配置->管理模板->系统->在右侧找到"关闭自动播放"->双击->选择"已启用"。
3、尽快将您的杀毒软件特征库升级到最新版本进行查杀，并开启防火墙拦截网络异常访问，如依然有异常情况请注意及时与专业的安全软件厂商联系获取yb亚博全站首页的技术支持。
4、开启windows自动更新，及时打好漏洞补丁。

病毒分析

该样本程序被执行后，创建名为“diantuzi”的互斥体，防止自身的再次调用, 修改自身文件属性为“隐藏”与“系统”；删除目录%systemroot%\system32\下“mfc71.dll”文件, %programfiles%\kingsoft\kingsoft internet security 2008\下“kasbrowsershield.dll”文件；修改系统时间年份为2004；调用系统“cacls.exe”命令提升下列文件与文件夹权限，赋予“everyone”用户完全控制权限：

加载操作系统sfc功能动态连接库文件“sfc_os.dll”，查找其五号函数并调用，去除对“beep.sys”系统文件的保护, 将“beep.sys”文件读到内存缓冲区作备份，修改系统“beep.sys”文件，成功后启动“beep”服务实现对“beep”服务的替换，驱动加载后恢复系统ssdt表，解除计算机部分杀软的主动防御，达到自身保护的目的，成功后关闭此服务，并将内存缓冲区备份的原系统文件“beep.sys”进行回写，恢复“beep.sys”文件，遍历查找下列安全软件进程，找到后尝试关闭该安全进程：

遍历查找下列服务，一旦找到尝试停止服务：

遍历查找包含下列文字的窗口，一旦找到尝试发送“wm_destroy” 与
“wm_close”消息关闭该窗口：

移动%systemroot%\system32\下“spoolsv.exe”文件，到%systemdrive%下，名称改为“tm.sa”,移动成功后，拷贝自身为“spoolsv.exe”文件到%systemroot%\system32\与%systemroot%\system32\dllcache\目录下，调用下列命令开启“server”服务：

尝试打开“meiganhuoya”服务，一旦打开成功则关闭此服务，尝试使用下列命令删除“spooler”服务：

隐藏方式调用运行“iexplore.exe”进程，并向其进程内存空间中注入恶意可执行代码，达到运行中访问下列指定网络的效果，自动下载相应木马到%systemdrive%\documents and settings\目录下，名称为“1ts.pif”,“2ts.pif”,“3t.pif”,“4.pif”,“5.pif” ,“6ts.pif”,“7.pif”,“8.pif”,“9ts.pif”,“10ts.pif”；目录%systemdrive%\ documents and settings\下“ccdd.pif”，下载成功后自动运行：

在注册表hklm\software\microsoft\windows nt\currentversion\image file execution options\下添加下列项,达到劫持大部分安全软件的目的：

删除注册表相关键值破坏安全模式，阻止用户进入安全模式：

添加注册表启动项，达到开机自启动目的：

删除系统启动项hklm\software\microsoft\windows\currentversion\run下指定安全软件的启动项键值，实现指定安全软件不能开机启动：

修改注册表破坏显示所有文件和文件夹，达到隐藏自身目的：

不断遍历磁盘，拷贝自身名为“zgp.pif”到磁盘分区根目录,并创建“autorun.inf”文件，均修改属性为“隐藏”与“系统”，“autorun.inf”内容为：