黑色海岸线论坛 - Powered by Discuz! Board

标题: [原创] 一个坏事做绝的U盘病毒（已解决） [打印本页]

作者: 7869320 时间: 2007-5-2 20:11 标题: 一个坏事做绝的U盘病毒（已解决）

我的电脑不知道中了什么病毒,开任何杀毒软件,或上任何杀毒网站都会自动关闭,就连到论坛的病毒专区都去不了.右键单击硬盘图标出现"auto",共享了我的所有硬盘.害我白白重装了一回.这算不算是新病毒?我敢肯定是国产的,不然怎么会识别汉字.

[ 本帖最后由左人男于 2007-5-24 01:29 编辑 ]

作者: 7869320 时间: 2007-5-2 20:22

补充:不能查看隐藏文件.注册表run出现7tv1q和vb3dkbm两个不知道什么的启动项

作者: chinanic 时间: 2007-5-3 03:34

用这个东西可以显示隐藏文件。删除之。。
在注册表里面找Auto，删除

作者: 7869320 时间: 2007-5-3 13:58

谢了!显示隐藏文件已经搞定,可是还是打不开任何有关杀毒方面的软件、网页等。在各个盘里出现autorun.ini，里面是：[AutoRun]
open=85228E60.exe
shellexecute=85228E60.exe
shell\Auto\command=85228E60.exe
这个85228E60.exe文件删除后又马上出现，像以前那个什么
“欢乐时光”一样

作者: 左人男 时间: 2007-5-3 18:29

根据你提示的：85228E60.exe

请参考此文：
http://www.cnsuk.net/index.php/action_viewnews_itemid_775.html

作者: 7869320 时间: 2007-5-3 19:16

不行啊,左哥.开不了那个网页,一开就关掉了

作者: 左人男 时间: 2007-5-3 20:47

本人打开正常！
建议你重新做系统，完后第一件事装杀软，升级病毒库，然后安全模式下查杀！

作者: 7869320 时间: 2007-5-3 22:16

哦,好的,只有再来一次了,大不了全部格掉.这个是不是叫什么"杀软终结者"啊?

作者: 左人男 时间: 2007-5-3 22:45

原帖由 7869320 于 2007-5-3 10:16 PM 发表
哦,好的,只有再来一次了,大不了全部格掉.这个是不是叫什么"杀软终结者"啊?

有个病毒专门针对杀软的，如“橙色八月”病毒，就是对付杀软，感染可执行文件!
专杀这里：
http://it.rising.com.cn/Channels/Service/2006-08/1154786729d36873.shtml

作者: 若风 时间: 2007-5-6 23:55

:$

作者: 7869320 时间: 2007-5-24 00:03 标题: 找到了

:L 非凡论坛找到的

一个坏事做绝的U盘病毒
本帖被 kkllmnmn 执行加亮操作(2007-05-15)
原创非首发 http://hi.baidu.com/newcenturysu ... 56164443a9ada0.html 转贴请注明
最近发现一个比较猖獗的 U盘病毒剑盟的jzb770325001也做了分析不过个人感觉不太全面昨天从某网友那获得了样本分析了一下
可以说能用到的手段都用到了
1.破坏安全模式
2.不能显示隐藏文件
3.结束常见杀毒软件以及常用杀毒工具进程
4.监控窗口
5.IFEO映像劫持
6.可以通过移动存储传播
下面就具体分析一下这个病毒
File: 8668122F.exe
Size: 35912 bytes
MD5: 394A70F8591EAF1C3D1B0F85C45D3767
SHA1: 9A04503D5850F130CA619923E816C0FF4DBE9910
CRC32: 9B70F042
加壳方式  UPX
病毒文件名应该是一个随机的8个数字和字母组成的组合
更加增加了查杀的难度

病毒运行后
在C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面释放一个同样由8个数字和字母组成的组合的文件名的dll  和一个同名的dat 文件
我这里是C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll
该dll插入Explorer进程
结束（包括但不限于）以下进程
360rpt.exe
360Safe.exe
360tray.exe
adam.exe
AgentSvr.exe
AppSvc32.exe
autoruns.exe
avgrssvc.exe
AvMonitor.exe
avp.com
avp.exe
CCenter.exe
ccSvcHst.exe
FileDsty.exe
FTCleanerShell.exe
HijackThis.exe
IceSword.exe
iparmo.exe
Iparmor.exe
isPwdSvc.exe
kabaload.exe
KaScrScn.SCR
KASMain.exe
KASTask.exe
KAV32.exe
KAVDX.exe
KAVPFW.exe
KAVSetup.exe
KAVStart.exe
KISLnchr.exe
KMailMon.exe
KMFilter.exe
KPFW32.exe
KPFW32X.exe
KPFWSvc.exe
KRegEx.exe
KRepair.COM
KsLoader.exe
KVCenter.kxp
KvDetect.exe
KvfwMcl.exe
KVMonXP.kxp
KVMonXP_1.kxp
kvol.exe
kvolself.exe
KvReport.kxp
KVScan.kxp
KVSrvXP.exe
KVStub.kxp
kvupload.exe
kvwsc.exe
KvXP.kxp
KvXP_1.kxp
KWatch.exe
KWatch9x.exe
KWatchX.exe
loaddll.exe
MagicSet.exe
mcconsol.exe
mmqczj.exe
mmsk.exe
NAVSetup.exe
nod32krn.exe
nod32kui.exe
PFW.exe
PFWLiveUpdate.exe
QHSET.exe
Ras.exe
Rav.exe
RavMon.exe
RavMonD.exe
RavStub.exe
RavTask.exe
RegClean.exe
rfwcfg.exe
RfwMain.exe
rfwProxy.exe
rfwsrv.exe
RsAgent.exe
Rsaupd.exe
runiep.exe
safelive.exe
scan32.exe
shcfg32.exe
SmartUp.exe
SREng.exe
symlcsvc.exe
SysSafe.exe
TrojanDetector.exe
Trojanwall.exe
TrojDie.kxp
UIHost.exe
UmxAgent.exe
UmxAttachment.exe
UmxCfg.exe
UmxFwHlp.exe
UmxPol.exe
UpLive.EXE.exe
WoptiClean.exe
zxsweep.exe
常见的杀毒软件和一些安全工具都被他干掉了
然后将这些exe通过IFEO进行映像劫持指向c:\program files\common files\microsoft shared\msinfo\41115bdd.dat

监控带有如下字样的窗口如果发现带有如下字样的窗口则马上将其关闭
木马
木馬
病毒
杀毒
殺毒
查毒
防毒
反病毒
专杀
專殺
卡巴斯基
江民
瑞星
卡卡社区
金山毒霸
金山社区
360安全
恶意软件
流氓软件
举报
报警
杀软
殺軟
防駭

以上这些监控和关闭窗口的工作全都是由插入Explorer进程的C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll操作的
比熊猫更狠让你找不到进程咯
然后在HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
下面添加注册表项目  <{15BD4111-4111-5BDD-115B-111BD1115BDD}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll>  [N/A]
达到开机启动目的
而且那个dll会监控这个注册表项目如果被删除则立即恢复

删除键
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
破坏安全模式

修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue值为0x00000000
使得显示不了隐藏文件

释放8668122F.exe和autorun.inf到除系统分区外的其他分区

然后通过Explorer进程链接网络下载一个自解压文件dl1.exe 到临时文件夹
自解压文件释放C:\WINDOWS\system\20290.exe
C:\WINDOWS\system\ad1309.exe
C:\WINDOWS\system\DiskFree_hy1.5.exe
C:\WINDOWS\system\dodolook027.exe等文件
这里面有驱动木马也有流氓软件
所有的文件都运行后
添加了如下文件

C:\WINDOWS\system32\drivers\acpidisk.sys
C:\WINDOWS\system32\drivers\tolnfo47.sys
C:\WINDOWS\system32\drivers\vilpew30.sys
C:\WINDOWS\system32\drivers\ykagjt85.sys
C:\WINDOWS\system32\1b.dll
C:\WINDOWS\system32\48a69
C:\WINDOWS\system32\60e4.exe
C:\WINDOWS\system32\7df9.dll
C:\WINDOWS\system32\91b6.dll
C:\WINDOWS\system32\b60.dll
C:\WINDOWS\system32\bpjlgv91.dll
C:\WINDOWS\system32\df91.dll
C:\WINDOWS\system32\f91b.exe
C:\WINDOWS\system32\ieagent.exe
C:\WINDOWS\system32\mprmsgse.axz
C:\WINDOWS\system32\mscpx32r.det
C:\WINDOWS\system32\MSRundll.exe
C:\WINDOWS\system32\ntprint.dIl
C:\WINDOWS\system32\tolnfo47.dll
C:\WINDOWS\system32\tolnfo47.ini
C:\WINDOWS\system32\vilpew30.dll
C:\WINDOWS\system32\wingjt85.bin
C:\WINDOWS\system32\wingjt85.dll
C:\WINDOWS\system32\winkx.dll
C:\WINDOWS\system32\winlgv91.bin
C:\WINDOWS\system32\winpew30.bin
C:\WINDOWS\system32\winpew30.dll
C:\WINDOWS\system32\ykagjt85.dll
C:\WINDOWS\system32\cewrndm.dll
C:\WINDOWS\system32\tolnfo47.dll
C:\WINDOWS\system32\vilpew30.dll
C:\WINDOWS\system32\b60.dll
C:\WINDOWS\03.bmp
C:\WINDOWS\3fa.exe
C:\WINDOWS\41115BDD.hlp
C:\WINDOWS\fa7c.txt
C:\Program Files\Internet Explorer\PLUGINS\system2.jmp
C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys
还装了两个软件一个是adpush software 一个是disk free

下面说说解决方法：
由于那个插入Explorer的dll是元凶所以我们应该首先干掉那个dll
常见的小工具都被他弄掉了找个没被屏蔽的吧
Xdelbox1.2 这个可以删除Windows下无法删除的文件具体使用方法参考http://hi.baidu.com/teyqiu/blog/ ... f3b5eece1b3e5a.html（里面有下载地址）

首先用Xdelbox 删除C:\Program Files\Common Files\Microsoft Shared\MSInfo\41115BDD.dll
重启
下载autoruns 由于IFEO也劫持了autoruns 所以我们将其改名

打开后找到Image hijacks 里面除了+ Your Image File Name Here without a path Symbolic Debugger for Windows 2000 Microsoft Corporation c:\windows\system32\ntsd.exe这项以外全部删除

删除后 sreng就可以运行咯

打开他
系统修复高级修复修复安全模式
好了成功后重启 F8进入安全模式

打开sreng
启动项目  注册表删除如下项目

  <{754FB7D8-B8FE-4810-B363-A788CD060F1F}><C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys>  []
<{15BD4111-4111-5BDD-115B-111BD1115BDD}><C:\Program Files\Common Files\Microsoft Shared\MSINFO\41115BDD.dll>  [N/A]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ctl3d32]
<WinlogonNotify: ctl3d32><cewrndm.dll>  []
“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：

[IEAgent service / IEAgent][Stopped/Auto Start]
  <"C:\WINDOWS\system32\ieagent.exe"><>
[Fax Client / ms_fax][Running/Auto Start]
  <C:\WINDOWS\system32\60e4.exe><N/A>

添加删除程序中卸载adpush software 和disk free
再次请出Xdelbox
强制删除如下文件
C:\WINDOWS\system32\drivers\acpidisk.sys
C:\WINDOWS\System32\DRIVERS\bpjlgv91.sys
C:\WINDOWS\System32\DRIVERS\tolnfo47.sys
C:\WINDOWS\System32\DRIVERS\vilpew30.sys
C:\WINDOWS\System32\DRIVERS\ykagjt85.sys
C:\WINDOWS\system32\cewrndm.dll
C:\WINDOWS\system32\tolnfo47.dll
C:\WINDOWS\system32\vilpew30.dll
C:\WINDOWS\system32\ykagjt85.dll
C:\WINDOWS\system32\b60.dll
C:\WINDOWS\system32\ieagent.exe
C:\WINDOWS\system32\1b.dll

重启
安全模式下打开sreng
在“启动项目”-“服务”-“驱动程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
[acpidisk / acpidisk][Running/Auto Start]
  <\??\C:\WINDOWS\system32\drivers\acpidisk.sys><N/A>
[bpjlgv9 / bpjlgv91][Stopped/Boot Start]
  <\SystemRoot\System32\DRIVERS\bpjlgv91.sys><N/A>
[tolnfo4 / tolnfo47][Running/Boot Start]
  <\SystemRoot\System32\DRIVERS\tolnfo47.sys><N/A>
[vilpew3 / vilpew30][Running/Boot Start]
  <\SystemRoot\System32\DRIVERS\vilpew30.sys><Microsoft Corporation>
[ykagjt8 / ykagjt85][Running/Boot Start]
  <\SystemRoot\System32\DRIVERS\ykagjt85.sys><Microsoft Corporation>

浏览器加载项中删除
[CAdLogic Object]
  {11F09AFD-75AD-4E51-AB43-E09E9351CE16} <C:\Program Files\Common Files\CPUSH\cpush0.dll, >
[Abho Class]
  {1238F6B9-C123-4049-B07E-7A71AF320032} <C:\WINDOWS\system32\b60.dll, TODO: <公司名>>
[Info cache]
  {385AB8C6-FB22-4D17-8834-064E2BA0A6F0} <C:\Documents and Settings\All Users\Application Data\Microsoft\PCTools\pctools.dll, 金泰丰(广州)科技有限公司>

删除上述

把下面的代码拷入记事本中然后另存为1.reg文件
Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"

双击1.reg把这个注册表项导入

双击我的电脑－工具－文件夹选项－查看－显示所有文件和文件夹，把“隐藏受保护的系统文件”的勾去掉。

右击点击菜单上的打开打开除系统分区外的其他分区删除autorun.inf和8668122F.exe（文件名随机）

删除如下文件
C:\Program Files\Internet Explorer\PLUGINS\SystemKb.sys
C:\WINDOWS\system32\1b.dll
C:\WINDOWS\system32\48a69
C:\WINDOWS\system32\60e4.exe
C:\WINDOWS\system32\7df9.dll
C:\WINDOWS\system32\91b6.dll
C:\WINDOWS\system32\b60.dll
C:\WINDOWS\system32\bpjlgv91.dll
C:\WINDOWS\system32\df91.dll
C:\WINDOWS\system32\f91b.exe
C:\WINDOWS\system32\ieagent.exe
C:\WINDOWS\system32\mprmsgse.axz
C:\WINDOWS\system32\mscpx32r.det
C:\WINDOWS\system32\MSRundll.exe
C:\WINDOWS\system32\ntprint.dIl
C:\WINDOWS\system32\tolnfo47.dll
C:\WINDOWS\system32\tolnfo47.ini
C:\WINDOWS\system32\vilpew30.dll
C:\WINDOWS\system32\wingjt85.bin
C:\WINDOWS\system32\wingjt85.dll
C:\WINDOWS\system32\winkx.dll
C:\WINDOWS\system32\winlgv91.bin
C:\WINDOWS\system32\winpew30.bin
C:\WINDOWS\system32\winpew30.dll
C:\WINDOWS\03.bmp
C:\WINDOWS\3fa.exe
C:\WINDOWS\41115BDD.hlp
C:\WINDOWS\fa7c.txt

写完这篇分析手都酸了还是希望大家增强安全意识从根源断绝此类恶性病毒的入侵

作者: 7869320 时间: 2007-5-24 00:11

很麻烦吧。我用最简单的方法：重装系统，装好还没第一次进系统时先进安全模式，杀毒，然后重起进系统，然后右键点击打开各盘，逐一删除那个85228E60.exe与autorun.ini然后不记得怎么回事然后不知不觉就没事了，然后88

作者: 左人男 时间: 2007-5-24 01:27

呵呵，首先感谢你回来回复帖子···
分析的那个很详细，大家可以了解一下，至于解决方法如果非研究那当然就是越简单越好了···:)
你的回复给评分···

作者: chinanic 时间: 2007-5-24 01:29

手杀。进启动项。找到母体。。结束进程树。。。一个一个找出来删除。。再去禁用一些有毒的 “服务”，在这里也可以看到病毒路径。。。。嗯。。你必须对正常服务熟悉才行。。

作者: 黑色叶子 时间: 2007-5-24 02:50

现在干掉杀毒软件的方法都是大差不差了

作者: 左人男 时间: 2007-5-24 02:57

楼上的“大差不差”让我想起了我曾经的“水而不止”

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)