分析一个挺有意思的病毒.docVIP

　　分析一个挺有意思的病毒～教育资源库 　　从本文你可以学到： 　　1. 分析跟踪病毒发作过程 　　2. 手动删除病毒文件，恢复被破坏的注册表信息 　　朋友给我一个病毒，说是从他的网站上拿到的，叫我有空帮他分析下，我分析后觉得这个病毒集合几个挺有意思的功能模块，于是就写了本文给各位看客看下。 　　先说下测试环境： 　　1、 在 Filesmon FilesSystem 目录下，改名为djogqvy.exe，再次复制到C:Program Filesmon FilesMicrosoft Shared目录下，更是修改名字为kjsfqhl.exe，并且两个都设置为隐藏。 　　 　　图2 　　接着启动djogqvy.exe病毒体，再在C:Program Files目录下生成同样的病毒体，命名为meex.exe，同目录下还生成一个mxtdep;O) 　　shellopenmand=gxkfxne.exe 　　shellopenDefault=1 　　shellexplore=资源管理器(X) 　　shellexploremand=gxkfxne.exe 　　很明显，这个文件是为下面的在每一个分驱生成autorun.inf做准备的，接着马上在各个分驱创建autorun.inf以及病毒文件gxkfxne.exe。如下图： 　　 　　图3（由于我在Tiny设置各个分驱没有写的权限，所以图中都是红圈） 　　这个时候马上就有更多的动作了，比如试图终止explorer.exe，还有就是象下载者一样连接网络下载另外的病毒体并运行它们： 　　 　　图4 　　跟着更牛了，这个时候开始用上了age File Execution Options ，位于注册表的: 　　HKEY_LOCAL_MACHINESOFTicrosoftinimal{4D36E967-E325-11CE-BFC1-08002BE10318} 　　HKLMSystemCurrentControlSetControlSafeBootNetCurrentControlSet001ControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318} 　　HKLMSystemCurrentControlSet001ControlSafeBoot 1234下一页 友情提醒：，特别！Netet连接共享和防火墙服务)就是把注册表里的HKLMSYSTEMCurrentControlSetServicesSharedAccess 的Start 改为 d Filesmon FilesSystem或者C:Program Filesmon FilesMicrosoft Shared，病毒体会把这个目录关闭掉，你根本就删除不掉那个病毒。不过这个病毒对自己的保护力度就这么一点本事，你只要打开任务管理器，把djogqvy.exe 以及kjsfqhl.exe两个进程分别结束掉(右击其中一个进程，利用结束进程树的方法结束这两个进程)，那么你就可以访问C:Program Filesmon FilesSystem或者C:Program Filesmon FilesMicrosoft Shared这两个目录了，这个时候就可以把djogqvy.exe 以及kjsfqhl.exe两个病毒体删除掉；接着把C:Program Files目录下meex.exe以及 mxtdeet连接共享和防火墙服务)、系统自动更新的服务和帮助和支持中心服务等（我后来反编译病毒体，看到病毒也许还要破坏其他的服务，比如假如你有安装Rising瑞星的话，它就会禁用rsppsys服务）。所以要恢复被破坏的系统注册表里的重要键值，请新建一个reg注册表文件，内容如下，然后直接双击这个文件即可恢复（我也已经做好了这个servcie_backup.reg注册表文件，各位可以参考下）。 　　CurrentControlSetServiceshelpsvc] 　　Start=dACHINESYSTEMCurrentControlSetServicesSharedAccess] 　　Start=dACHINESYSTEMCurrentControlSetServicesACHINESYSTEMCurrentControlSetServicesACHINESOFTicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenS 上一页1234下一页 友情提醒：，特别！HOACHINESYSTEMControlSet001ControlSafeBootNetal{4D36E967-E325-11CE-BFC1-08002BE10318}] 　　=DiskDrive 　　[HK