[金山急救箱1.docVIP

病毒名称(中文): 超级AV终结者 病毒别名: 要你命三千,对抗型大杀器,混血魔头 威胁级别: 病毒类型: 木马下载器 病毒长度: 50688 影响系统: Win9x WinMe WinNT Win2000 WinXP Win2003 病毒行为: 这是一个对抗能力极强的下载器。它结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点，行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播，对抗安全软件，下载大量的木马。由于带有穿透功能，对网吧和局域网用户影响很大。 一、 文件分析1)母体dll导出函数explore获取ShellExecuteA，并调用”explorer open .”打开当前目录。用于每个驱动器下打开目录。 导出函数SchedServiceMain、ServiceMain、SvchostEntry_W32Timea)检测调试器：查找进程OllyICE.exe，OllyDbg.exe，ImportREC.exe，C32Asm.exe，LordPE.exe，PEditor.exe等进程，如果存在则退出，不存在则调用IsDebuggerPresent，检测当前是否被调试，是的话退出。b)创建NSDownLoader20Vip02互斥体。c)关卡巴进程。d)释放资源102到%sys32dir%\Nskhelper2.sys,并创建服务NsRk1，启动,来恢复SSDT。e)扫描当前系统进程列表，发现有安全软件进程，就调用驱动中的ZwTerminateProcess将它关闭。 进程列表pccguide.exe ZONEALARM.exe zonealarm.exe wink.exewindows优化大师.exe WFINDV32.exe webtrap.exe WEBSCANX.exeWEBSCAN.exe vsstat.exe VSSCAN40 VSHWIN32.exe vshwin32.exeVSECOMR.exe VPC32.exe vir.exe VETTRAY.exe VET95.exevavrunr.exe UlibCfg.exe TSC.exe tmupdito.exe tmproxy.exeTMOAgent.exe Tmntsrv.exe TDS2-NT.exe TDS2-98.exe TCA.exeTBSCAN.exe symproxysvc.exe SWEEP95.exe spy.exeSPHINX.exe smtpsvc.exe SMC.exe sirc32.exe SERV95.exesecu.exe SCRSCAN.exe scon.exe SCANPM.exe SCAN32.exe scan.exescam32.exe safeweb.exe safeboxTray.exe rn.exe Rfw.exerescue32.exe regedit.exe RavTask.exe RavStub.exeRavMonD.exe RavMon.exe rav7win.exe RAV7.exe ras.exepview95.exe prot.exe program.exe PpPpWallRun.exepop3trap.exe PERSFW.exe PCFWALLICON.exe pccwin98.exepccmain.exe pcciomon.exe PCCClient.exe pcc.exe PAVCL.exePADMIN.exe OUTPOST.exe office.exe NVC95.exe NUPGRADE.exenorton.exe NORMIST.exe NMAIN.exe nisum.exe nisserv.exeNAVWNT.exe navwnt.exe NAVW32.exe NAVW.exe NAVSCHED.exe navrunr.exe NAVNT.exe NAVLU32.exe navapw32.exe navapsvc.exeN32ACAN.exe ms.exe MPFTRAY.exe MOOLIVE.exe moniker.exemon.exe microsoft.exe mcafee.exe LUCOMSERVER.exe luall.exeLOOKOUT.exe lockdown2000.exe lamapp.exe kwatch.exeKVPreScan.exe KVMonXP.exe KRF.exe KPPMain.exe kpfwsvc.exekpfw32.exe KPFW32.exe kissvc.exe kavstart.exe kav32.exeKasmain.exe Ka