7情小渔兒

病毒名称(中文):AV终结者变种65536病毒别名:威胁级别:★★☆☆☆病毒类型:木马下载器病毒长度:13824影响系统:Win9xWinMeWinNTWin2000WinXPWin2003
. u: E9 ?( F, S+ o: v" Y) w病毒行为: : D/ k# }7 r: ~' G" C

3 ?% i; L9 x0 K  r这是AV终结者的一个变种。它会恢复系统SSDT表，关闭杀软进程或映像劫持杀软的进程。该毒会将自己注入到系统进程中运行，以防止被删除，同时会建立大量的AUTO文件，实现自动传播。 0 Q2 b. O! e' V- o3 ]8 }

, v- a7 f  |3 G1)搜索当进程中是否含有PID为4的进程，没有退出。判断是否为NT系统。
1 W: u5 o0 R& X+ t2 d2)判断当前目录下AUTORUN.INF是否存在，存在，获取当前文件路径的前3个字节，并打开。判断是否从autorun.inf打开。 " n; c1 n0 E! }$ s
3)创建SHALONG互斥体，并判断是否存在，存在则退出。 - e3 y; l, p& ~
4)将当前文件设置为隐藏和系统。
& `6 G" u1 T6 z5)删除以下文件
+ g+ Z& [" g0 t" e3 X( }# |! [c:\windows\system32\mfc71.dll
' E9 x' s( T0 _6 zC:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
4 ^: @( V2 _7 [/ S$ _) Ed:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
" m% L/ G8 E8 b. X: \1 _f:\ProgramFiles\Kingsoft\KingsoftInternetSecurity2008\kasbrowsershield.dll
2 Q9 T( }& \7 `2 Gc:\windows\system32\drivers\etc\hosts、
, a) `4 ]4 I  y/ m9 @  ^! g) h( k* cc:\winnt\system32\drivers\etc\hosts。
6 B! s5 d( h: p; M. k( f, H/ W3 z6)搜索当前进程中是否含有safeboxTray.exe(360保险箱)，有了将其进程关闭。 . o! S4 s, ^# B) E) h: _% L
7)将系统时间设置为2004年。 & p) [8 x$ Q$ n
8)运行cacls.exec:\windows\system32\packet.dll/e/peveryone:f
, I- t1 E2 V0 z* {8 l: m# ^cacls.exec:\windows\system32\pthreadVC.dll/e/peveryone:f
/ I+ d' K5 _7 q( [$ x1 Vcacls.exec:\windows\system32\wpcap.dll/e/peveryone:f
3 n* G8 z# t6 Q5 U# [cacls.exec:\windows\system32\drivers\npf.sys/e/peveryone:f ' l4 }9 H/ X4 I* R3 |
cacls.exec:\windows\system32\npptools.dll/e/peveryone:f 5 Q# M$ p7 [- O
cacls.exec:\windows\system32\drivers\acpidisk.sys/e/peveryone:f # t% Y# W/ i" {0 i
cacls.exec:\windows\system32\wanpacket.dll/e/peveryone:f
. G8 _( Z7 q' }" g3 _  R/ acacls.exec:\DocumentsandSettings\AllUsers\「开始」菜单\程序\启动/e/peveryone:f
7 Q4 j; }0 w6 V' v+ zcacls.exec:\windows\system32\drivers\etc\hosts/e/peveryone:f 1 }% H# s9 M( G1 I, [/ T' n; |- ^1 D0 \
cacls.exec:\windows\system32\ftp.exe/e/peveryone:f
) W8 y5 X" v. o* ]/ \0 x: I8 x将这些文件设置为everyone完全控制。
/ D5 g5 V" k7 ?! S* `9)调用sfc_os.dll的第五个导出函数，将%sys32dir%\drivers\beep.sys、%sys32dir%\spoolsv.exe、%sys32dir%\dllcache\spoolsv.exe的文件保护关闭。
3 \9 c0 V% @; c; G2 J10)将beep.sys的服务设置为SERVICE_CONTROL_STOP，并将其文件属性设置为Normal。 : s9 V- P4 p, I% l8 N0 x
11)解密数据段的数据，将其写入beep.sys，并开启beep服务，其功能为恢复ssdt. - Z6 I1 H6 S* r/ |
12)搜索当前进程中是否含有以下进程，有了关闭。
6 _6 n! l# U: {wuauclt.exeEsuSafeguard.exeVsTskMgr.exeAvp.EXEIparmor.exeKVWSC.ExEkvsrvxp.exekvsrvxp.kxpKvXP.kxpKRegEx.exeAntiArp.exeVPTRAY.exeVPC32.exescan32.exeFrameworkService.exeKASARP.exenod32krn.exenod32kui.exeTBMon.exerfwmain.exeRavStub.exerfwstub.exerfwProxy.exerfwsrv.exeUpdaterUI.exekissvc.exekav32.exekwatch.exeKAVPFW.EXEkavstart.exekmailmon.exeGFUpd.exeRavxp.exeGuardField.exeRAVMOND.EXERAVMON.EXECenter.EXERSTray.exeRAv.exeRuniep.exe360rpt.EXE360tray.exe360Safe.exe
$ \- Q# l# e+ \! Y; G/ O13)关闭以下杀毒软件的服务。
$ M, M2 P, z* J# R" @$ q8 ANortonAntiVirusServerMcAfeeFramework服务SymantecAntiVirus
, c( b3 G  @5 {8 s5 Z( b1 FDefinitionWatcherSymantecAntiVirusDriversServicesSymantecAntiVirusKingsoftInternetSecurityCommonServiceKPfwSvcKWhatchsvcMcShieldsharedaccess 5 |& D7 F: U) W- s+ f# v% R( \
14)比较当前运行路径是否为%sys32dir%\spoolsv.exe,不是的话，将%sys32dir%\spoolsv.exe移到c:\ttmm.tep,并将自己复制到%sys32dir%\spoolsv.exe和%sys32dir%\dllcache\spoolsv.exe $ ?5 j% W/ n# c' x" |  F. \
15)调用cmd.exe/cnet1startserver,开启server服务。 3 L" B) ^4 f! A3 O; n/ {4 O4 w3 E
16)隐藏方式打开IE，并将自己下载函数注入到其进程中。
1 _1 x8 |% [% Y- f⑴将%sys32dir%\urlmon.dll复制到%sys32dir%\aktwkss.dll 9 v0 T4 R6 m$ t: c
⑵获取函数UrldownloadtofileA,下载以下文件，并运行。 0 o$ Z( y: H5 {$ k8 e
到C:\ProgramFiles\ccd.pif 1 U! ]6 o6 r8 H- S
到C:\ProgramFiles\11.pif & j+ N7 E/ j7 L1 w
到C:\ProgramFiles\22.pif
& @( _, H+ Y- F到C:\ProgramFiles\33.pif   h* q6 c) q' W2 F: P
到C:\ProgramFiles\44.pif ' x9 X) K5 a- j) y. ?
到C:\ProgramFiles\55pif
6 @8 Q. @% y( {1 V" U& I6 W* T' Y到C:\ProgramFiles\66.pif 5 k" I, V) F( G: ?9 f# ~% q0 E
到C:\ProgramFiles\77.pif ' W+ W# s- x4 z5 l5 o0 E2 v$ E
到C:\ProgramFiles\88.pif
0 b) s& O# U0 {, [* Y) m. E到C:\ProgramFiles\99.pif
" ^2 ~# `  u" O到C:\ProgramFiles\1010.pif
& E- `+ @9 C/ U1 f1 f
, q3 D0 h% M' ~. v17)添加注册表启动键值
! A' c" V& A, H5 e- i: q0 yHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run\internetnet:"C:\WINDOWS\system32\spoolsv.exe" & R# Q$ J8 V2 f3 G+ M8 D
18)添加映像劫持 & `* N) M  K7 ^
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ' D: L/ c$ ~% C# g
\ImageFileExecutionOptions\360rpt.EXE\debugger: $ p0 W1 }' g' F( ?0 {) n
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ' [$ j  w7 F. g  O
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 5 H) P) K# @* |" [& l$ K
\ImageFileExecutionOptions\360safe.EXE\debugger: 6 `* Y$ ?7 G$ A6 N7 w
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 S7 y: X0 G5 Z: r0 R$ zHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 G2 s$ X2 Z" U
\ImageFileExecutionOptions\360safebox.EXE\debugger:
; v* S3 s- E1 _$ A"C:\WINDOWS\system32\dllcache\spoolsv.exe"   _( ]5 n8 F2 B' y. T
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ; @( _3 L0 d$ ?1 A1 E& q1 Y
\ImageFileExecutionOptions\360tray.EXE\debugger: , |8 X# [9 h' b0 Q3 K
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
1 E! u" c( h" bHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : U0 U; A4 x$ h3 x6 A
\ImageFileExecutionOptions\ANTIARP.EXE\debugger:
( I5 Z8 ?* x2 D$ E: P& ?2 S"C:\WINDOWS\system32\dllcache\spoolsv.exe"
' \* @/ X3 {" i- WHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 3 Q: A- w. L* F: `8 l/ R2 z6 b$ R
\ImageFileExecutionOptions\ArSwp.EXE\debugger:
# y% W8 B: M8 O1 @* C( l' q- c"C:\WINDOWS\system32\dllcache\spoolsv.exe" & h* S' f+ P* w; L6 Y2 b% B0 c
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ( f2 Z8 _$ e( w1 p1 i+ |
\ImageFileExecutionOptions\Ast.EXE\debugger:
( v. n' F7 c' ]4 U"C:\WINDOWS\system32\dllcache\spoolsv.exe"
$ J& o4 P& \* o$ j, aHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
, {: f* U  m% X" V% Q+ I5 L\ImageFileExecutionOptions\AutoRun.EXE\debugger:
/ ^2 Y( H8 r. u; B"C:\WINDOWS\system32\dllcache\spoolsv.exe" : F6 e. n3 U: f+ b, H
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   u( M. `; @; o; B: ^9 \- Z* h# N# z
\ImageFileExecutionOptions\AutoRunKiller.EXE\debugger: & I  j% j. p' m' u& n5 B" Q
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
4 }% w; S' N* b4 mHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion . ~& v7 p) e6 B; Z+ k
\ImageFileExecutionOptions\AvMonitor.EXE\debugger:
+ e5 F9 Y% X, u3 U% k7 v3 I' @"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) q: Q5 f' R6 j" tHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion - @! y' G! X0 z, K9 ]
\ImageFileExecutionOptions\AVP.COM\debugger:
0 R0 G) d9 B% x) l' `"C:\WINDOWS\system32\dllcache\spoolsv.exe" , C# B! C& f8 v1 @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion $ m2 `# n3 g! J
\ImageFileExecutionOptions\AVP.EXE\debugger: ) r& O. S5 m6 G4 L' C
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
( N3 H2 j" ~6 Q% Z3 IHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- G' A4 a2 b; o1 m7 a3 o) G\ImageFileExecutionOptions\CCenter.EXE\debugger: 7 C$ g, Q* ]# H% P, g. T, T# N
"C:\WINDOWS\system32\dllcache\spoolsv.exe"   H3 b( v1 I2 T! W  E4 M
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
5 R) X1 d1 C6 z" j) i3 D\ImageFileExecutionOptions\Frameworkservice.EXE\debugger: ' b0 _1 a+ A  o/ B  t
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
% ^9 g- D4 i0 |; ?/ m: M- DHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
: ^6 m& R# [# ~\ImageFileExecutionOptions\GFUpd.EXE\debugger:
1 m9 ~4 x4 i+ G: _' q+ }+ X% c+ m"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) @  L9 ?! k/ F8 Y3 N  CHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
+ m" r  W$ y! E7 y3 g' _\ImageFileExecutionOptions\GuardField.EXE\debugger:
  a* k/ X! R1 `4 u+ R"C:\WINDOWS\system32\dllcache\spoolsv.exe" & V) v. A8 _/ t6 T. K2 R* S
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
3 v' o4 A' y* S- c1 {\ImageFileExecutionOptions\HijackThis.EXE\debugger:
) C: `, D! ^$ t3 ^6 C0 w"C:\WINDOWS\system32\dllcache\spoolsv.exe" 0 ?( e/ a0 S- Q5 c' u' g5 v/ f) I
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion   e, d( Z% f. D: H& S1 V
\ImageFileExecutionOptions\IceSword.EXE\debugger: . q0 C2 }- N5 U8 k/ a) I1 B$ o" i( x
"C:\WINDOWS\system32\dllcache\spoolsv.exe" : |( ~) G) D# H# v; Y, {2 g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion ! ?% U3 e/ ^( X6 l9 T2 N
\ImageFileExecutionOptions\Iparmor.EXE\debugger:
1 w; d+ F' m- I& S"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) P, B$ i+ c7 nHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
1 ]2 I, @7 t! }! Q/ k- x0 G# ?\ImageFileExecutionOptions\KASARP.EXE\debugger: 4 \3 I' |! }$ f' U! r0 l: k
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
+ f4 m3 n( N* T4 \6 d, R$ XHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
2 \. A: l+ l& `2 D, i\ImageFileExecutionOptions\kav32.EXE\debugger: 7 u8 A9 e& z! z3 Q% ^
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
6 r5 D. V+ o/ x3 @6 m" A, G9 I+ M) @HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & t, v/ `/ ^1 V# b  @8 o
\ImageFileExecutionOptions\KAVPFW.EXE\debugger: 0 g0 k# L9 F7 u$ F) W1 q
"C:\WINDOWS\system32\dllcache\spoolsv.exe" ( z8 ]* \0 B7 c5 W' Z7 M" X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
; ~& N6 [! e* }9 V( d% r\ImageFileExecutionOptions\kavstart.EXE\debugger: 2 A$ T" m; T$ P1 [+ t( d
"C:\WINDOWS\system32\dllcache\spoolsv.exe" " w# B* l$ Z1 t
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
0 ?, h( O: M. _# U( Z\ImageFileExecutionOptions\kissvc.EXE\debugger: 5 E8 X( x, L2 C( w1 O5 _: I4 o
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ |1 G. K' D' W$ B5 K$ KHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 9 z& K& \8 D$ {( B) F# e
\ImageFileExecutionOptions\kmailmon.EXE\debugger: ( o1 `7 `2 M! n, S
"C:\WINDOWS\system32\dllcache\spoolsv.exe" $ H, T: O2 F6 w( [- @
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
1 g1 s6 y2 i7 D7 ^\ImageFileExecutionOptions\KPfwSvc.EXE\debugger: / m6 n4 }! c+ _8 p2 Q: B2 N
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 1 r* X! a% {$ o* j1 m% H* j, f' g
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
) ^* I$ g( J, `( v  n, I- `$ {8 k\ImageFileExecutionOptions\KRegEx.EXE\debugger:
. p' c4 G) F5 y"C:\WINDOWS\system32\dllcache\spoolsv.exe"
. P+ s. m7 I5 gHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : s6 c! j- U8 J! I
\ImageFileExecutionOptions\KVMonxp.KXP\debugger:
" g; k7 M' D9 w( K! [( p2 }4 c"C:\WINDOWS\system32\dllcache\spoolsv.exe" 8 ^5 A- A+ d! p$ A2 G7 A
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion / J! t/ \7 G* g+ Q  `
\ImageFileExecutionOptions\KVSrvXP.EXE\debugger:
- R$ }1 f2 x# n) ?( F. a% _"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 ?3 z. r+ M: R0 |- G: LHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion & {* K$ Y6 O' Z% @3 R. r% N
\ImageFileExecutionOptions\KVWSC.EXE\debugger: ' b4 W, R. ~( O! Y1 C
"C:\WINDOWS\system32\dllcache\spoolsv.exe" . ?! G4 @! d6 ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
  Y% X2 q. `. u\ImageFileExecutionOptions\kwatch.EXE\debugger: ! Y0 U; X' X' o
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
+ y" j) C# v- R! L9 e1 ^HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 4 w6 _3 n0 g9 y+ c/ L  S! |
\ImageFileExecutionOptions\Mmsk.EXE\debugger:
( b8 ?  x- o. D! r; C! E5 ~" H2 }"C:\WINDOWS\system32\dllcache\spoolsv.exe"
0 R. \# T- j2 ZHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
* V7 ^  O4 x8 _" m0 l2 C; N; F\ImageFileExecutionOptions\msconfig.EXE\debugger: $ r6 n. b  z! p( l. |: E
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 [2 B3 f7 g' {5 k: f( p5 l
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
3 c6 F2 u8 h/ ^5 f\ImageFileExecutionOptions\Navapsvc.EXE\debugger:
. F. H3 }, \( X8 A; b7 Q5 j"C:\WINDOWS\system32\dllcache\spoolsv.exe"
: J$ p5 c0 H# J7 @* @/ x, h8 I+ }HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion : k( L, T+ X. ^+ B4 E1 e0 ?7 Y
\ImageFileExecutionOptions\nod32krn.EXE\debugger:
" I5 a* Q& m! Q. ]% E" i$ f"C:\WINDOWS\system32\dllcache\spoolsv.exe"
5 y" y) n7 w& ^8 D$ h+ FHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 0 \0 W; _3 G1 I, F$ ]: W/ Z: E
\ImageFileExecutionOptions\Nod32kui.EXE\debugger: ! D' P/ Z; P% p# d
"C:\WINDOWS\system32\dllcache\spoolsv.exe" / C; G; a$ c! m* X
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * x* L1 j( q8 E" ~8 F: |
\ImageFileExecutionOptions\PFW.EXE\debugger:
0 e% x3 H( R% U6 m& A"C:\WINDOWS\system32\dllcache\spoolsv.exe"
6 H2 ~% _; ^- P: q! A0 _+ ~HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
2 D4 }" N8 b7 {- E; e7 `1 u4 I6 u\ImageFileExecutionOptions\QQDoctor.EXE\debugger:
9 D* h; G7 b: }. }( W$ y"C:\WINDOWS\system32\dllcache\spoolsv.exe"
* w  E  P; U% m' R9 hHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
, ]5 v! \0 f% k5 i; H0 I\ImageFileExecutionOptions\RAV.EXE\debugger:
5 W$ ]. D9 f4 e% e4 j"C:\WINDOWS\system32\dllcache\spoolsv.exe"
% `( T8 O9 J' xHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
! _; T# t% c5 L+ x8 B1 I1 e\ImageFileExecutionOptions\RavStub.EXE\debugger:
: `7 T; m' U* }. Y" Y"C:\WINDOWS\system32\dllcache\spoolsv.exe"
3 {3 r1 v$ t9 A# pHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
3 S' m, _/ |& j. \6 o( C\ImageFileExecutionOptions\Regedit.EXE\debugger:
# x; a, B3 X5 j- T% v"C:\WINDOWS\system32\dllcache\spoolsv.exe" 5 }* w3 \, ~4 J% r
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
& ^5 G: b! G! ~( O  d& G% X3 v\ImageFileExecutionOptions\rfwmain.EXE\debugger: ; S7 M  R% [& y. x
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
/ i8 N& l+ w; d# R' N7 T% PHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
$ y! Y6 U7 V- y+ t\ImageFileExecutionOptions\rfwProxy.EXE\debugger:
  p* o! A6 N% o"C:\WINDOWS\system32\dllcache\spoolsv.exe"
; q4 k8 q, Q' L; Q7 }HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion * x& B9 M9 b) W
\ImageFileExecutionOptions\rfwsrv.EXE\debugger:
9 }+ y7 Z' |# U" u9 C- }"C:\WINDOWS\system32\dllcache\spoolsv.exe" 2 M! x4 s5 E' b
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 Q2 R7 F" ]8 V- d  B0 n
\ImageFileExecutionOptions\rfwstub.EXE\debugger:
. W3 {. {5 I  q' f. P4 j" ]"C:\WINDOWS\system32\dllcache\spoolsv.exe" ! o* K5 C, C, u9 G; C
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
( E7 F3 i0 l  f# f' l/ g\ImageFileExecutionOptions\RSTray.EXE\debugger: / |  u( b& n6 L, P7 A; X4 W
"C:\WINDOWS\system32\dllcache\spoolsv.exe" % T8 `$ T; g4 Z: J: ~
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
. g+ V  k4 b3 D, N) M\ImageFileExecutionOptions\Runiep.EXE\debugger: 4 F6 E7 D( A" v# h! F
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
1 L& z7 I& \6 k) t; ~6 EHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
- C1 ~" m+ `* X( d/ a\ImageFileExecutionOptions\safeboxTray.EXE\debugger: . ~: j) M2 {$ a* o+ x
"C:\WINDOWS\system32\dllcache\spoolsv.exe" 7 _$ g' n. l2 U2 P9 w
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 7 \+ }2 z( h* V$ q( K9 m( y5 n/ k/ t$ v
\ImageFileExecutionOptions\SREngLdr.EXE\debugger: ' O! `7 ]$ x: b6 b6 \
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
% N: @6 X+ E' a* K' SHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
1 t) P6 X2 C5 a\ImageFileExecutionOptions\TrojanDetector.EXE\debugger: 8 j' j' q4 B  ?5 m) G! O& r
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
6 A) @+ [: `+ fHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
; K1 q2 o/ S# O: V\ImageFileExecutionOptions\Trojanwall.EXE\debugger:
! x$ _* x( d9 @% s4 t8 Q' S"C:\WINDOWS\system32\dllcache\spoolsv.exe" & l4 M( m6 K$ f  ]
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
% @) S& S  h# u8 x; v" q\ImageFileExecutionOptions\TrojDie.KXP\debugger: 5 ]/ A# Q! t: z, Z% d+ R! R8 T
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
) f7 E7 l2 [6 n* vHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion 8 u: O, q/ O  K; M2 q0 J5 j
\ImageFileExecutionOptions\VPC32.EXE\debugger:
+ c+ t$ O5 m8 g9 ?! v/ Y0 Y"C:\WINDOWS\system32\dllcache\spoolsv.exe" 6 M4 E5 H$ f, J5 l
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
3 C7 Z6 J, I7 `/ m\ImageFileExecutionOptions\VPTRAY.EXE\debugger:
" P1 U1 `6 j. N; Z7 O"C:\WINDOWS\system32\dllcache\spoolsv.exe"
2 D! o# T. p6 j& Z5 gHKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion
6 |! U! m* b- n\ImageFileExecutionOptions\WOPTILITIES.EXE\debugger: - D6 C5 A- o; V! b# h, `. X# t. Z: L+ Q
"C:\WINDOWS\system32\dllcache\spoolsv.exe"
9 e4 L& W- C9 u" i6 @& s# V, r19)修改隐藏显示
' E% O4 U4 b9 f4 MHKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL下键值CheckedValue改为0x1（0x2为显示） / u2 O$ a: U5 G* X& A2 T+ D- G
20)删除以下键值破坏安全模式。 6 j  L) k4 w  N* d! V
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive"
$ ]) F- p9 ?6 O6 e& dHKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\:"DiskDrive" 5 q# l9 y. \0 i7 L( \4 j
21)遍历c到z的盘符，发现该驱动器为Fixed，将自己复制到其根目录命名HGZP.PIF，并创建对应的autorun.inf,将文件设置为系统，隐藏。 . q8 M+ z8 h5 |: q$ z
22)搜索窗口，发现以下字符串的窗口则发送wm_close消息。 ! @* {  k) X7 _% }; @
杀毒清理 srengworm 卡巴斯基 超级巡警 江民金山
3 ^$ V7 k) m" j2 w; U5 ~* c) dAntivirusfirewall 5 c3 k% Y7 p' C) g* N  Q6 p
检测 mcafee 病毒防火墙 主动防御 : n2 R) s" ?+ h  K. Y  T9 e6 \
微点防御 绿鹰木马 瑞星进程 processnod32
' K+ E9 B2 x& M0 A' e* H9 d专杀安全卫士

7情小渔兒

& ~9 D2 U) C$ P* z+ h, V
( R$ M  K# l! }/ Q0 E4 J病毒现象% C! D- A5 N  ^7 k) N+ Y5 }7 s
1.生成很多8位数字或字母随机命名的病毒程序文件，并在电脑开机时自动运行。
: k6 _! T0 T% Q" V) ~- G2.绑架安全软件，中毒后会发现几乎所有杀毒软件，系统管理工具，反间谍软件不能正常启动。即使手动删除了病毒程序，下次启动这些软件时，还会报错。( h) H0 Q( p& e
比如，运行Sreng时，会出现这个错误
2 b+ @( V% c  N5 l3 ~
2 y1 Q+ n7 x0 m3.不能正常显示隐藏文件，其目的是更好的隐藏自身不被发现。
( e3 O% J8 }3 z; F& g6 Y! o2 t4.禁用windows自动更新和Windows防火墙，这样木马下载器工作时，就不会有任何提示窗口弹出来。4 m1 B5 c  P8 ~. u

) P+ _) P" Z- ]& m0 d; S  W5.破坏系统安全模式，使得用户不能启动系统到安全模式来维护和修复
/ W$ h$ w! d0 b$ [1 o4 J/ w# y6.当前活动窗口中有杀毒、安全、社区相关的关键字时，病毒会关闭这些窗口。假如你想通过浏览器搜7.索有关病毒的关键字，浏览器窗口会自动关闭。% D8 x% i. {3 y( o- i
8.在本地硬盘、U盘或移动硬盘生成autorun.inf和相应的病毒程序文件，通过自动播放功能进行传播。这里要注意的是，很多用户格式化系统分区后重装，访问其它磁盘，立即再次中毒，用户会感觉这病毒格式化也不管用。! [6 |* z8 k% V. _7 F8 E
9.病毒程序的最终目的是下载更多木马、后门程序。用户最后受损失的情况取决于这些木马和后门程序。4 j8 F" F1 A- c' E7 @* z( j* D
传播方式
  J: {6 T8 O% ~; _1.通过U盘、移动硬盘的自动播放功能传播
  h4 A  o9 x; Q2.AV终结者最初的来源是通过大量劫持网络会话，利用网站漏洞下载传播。和前一段时间ARP攻击的病毒泛滥有关。* s+ G* G# s4 {7 d) D) C& \
. M& Y; `3 }4 m2 l# m' q
8 E# O( y3 D* ?: F! Z  e  C8 m2 c
反病毒区上传sreng日志，将bs3ol8kd2.exe 打包发送至可疑文件交流区
  \7 P' ~* Z( {% J/ h9 ^9 ^使用System Repair Engineer扫描日志，将日志作为附件上传上来。
6 B; Y& p6 x; G" x$ b# A  p! n7 X下载页面：http://www.kztechs.com/sreng/download.html" Z; ~+ W; `3 V
操作方法：
: o- X/ }& ~* a5 d" j: w- V1、下载后解压缩，运行SREngPS.EXE；
& r- W3 `8 p5 g3 q) v, p8 A8 H2、如果无法打开尝试把SREngPS.EXE改名为123.com，并复制到c:\windows目录下运行；
2 G) _0 @: Z0 Q3、依次点击【智能扫描】-【扫描】，耐心等待，扫描结束后点击【保存报告】；
0 ?$ k; o! ]+ i5 n0 T4、选择保存路径，文件名保持默认，直接点击【保存】；3 e; g- r; e4 o2 k* S) j
5、打开保存的日志文件SREngLOG.log，完整复制全部内容，新建一个文本文档，将日志中的全部内容粘贴到“新建文本文档.txt”中；
5 H9 U* y& X- o  _/ N5 s% Q6、将“新建文本文档.txt”作为附件上传，同时务必详细描述问题现象，如果有查杀不净的病毒务必提供病毒名和路径。
; m  u% `* v+ m0 t# L. [注意：扫描前请尽量关闭QQ、游戏、下载工具、媒体播放器等应用程序 * e, t8 r! U6 d% P

: V) U% K* Q" \; m. Z* V$ S- P如果你想要尽快点杀完毒!就用windows清理助手和 360顽固木马专杀大全杀就可以了!当然最好是全部软件查杀啦!
$ k8 \. g. \+ n: o  \) M$ W0 p0 {% I; g" ]- M: X  Y
用木马专杀进行全盘扫描杀毒，试试
' Y) ^* ]" H& y. p4 d1:木马清除专家 2009 V0803?? http://59b.onlinedown.net/down/memaqczj.zip  2:360顽固木马专杀大全v4.2正式版? http://down.360safe.com/360compkill.zip  3:冰刃(强制删除顽固病毒文件的）IceSword v1.22? http://dl-sh-cnc-2.pchome.net/0e/aj/IceSword122cn.zip 扫描出来杀不掉的话，开机按F8进安全模式杀