磁碟机解决方案 磁碟机专杀工具
下重新释放刚才所释放的文件,同时会在system32文件夹下释放一个新的动态库文件dnsq.dll,然后生成两个随机名的log文件该文件是lsass.exe和dnsq.dll的副本,然后进行以下操作:
1. 从以下网址下载脚本http://www.****.****/*.htm、.....。 2. 生成名为”MCI Program Com Application”的窗口。 3. 程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。 4. 查找带以下关键字的窗口,查找带以下关键字的窗口,如果找到则向其发消息将其退出:RsRavMon、McShield、PAVSRV… 5. 启动regsvr32.exe进程,把动态库netcfg.dll注到该进程中。 6. 遍历磁盘,在所有磁盘中添加autorun.inf和pagefile.pif,使得用户打开磁盘的同时运行病毒。 7. 通过calcs命令启动病毒进程得到完全控制权限,使得其他进程无法访问该进程。 8. 感染可执行文件,当找个可执行文件时,把正常文件放在自己最后一个节中,通过病毒自身所带的种子值对正常文件进行加密。 smss.exe用来实现进程保护,程序运行后会进行以下操作: 1.创建一个名为xgahrez的互斥体,防止进程中有多个实例运行。 2.然后创建一个名为MSICTFIME SMSS的窗口,该窗口会对三种消息做出反应: 1.WM_QUERYENDSESSION:当收到该消息时,程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。 2.WM_TIMER:该程序会设置一个时钟,每隔0.2秒查找“MCI Program Com Application”窗口,如果找不到则运行病毒程序。 3.WM_CAP_START:当收到该消息时,向其发送退出消息。 3.把lsass.exe拷贝到C盘根目录下命名为037589.log,同时把该文件拷到启动目录下实现自启动。 dnsq.dll通过挂接全局消息钩子,把自己注到所有进程中,该动态库主要用来HOOK API和重写注册表。动态库被加载后会进行以下操作: 1. 判断自己所在进程是否是lsass.exe、smss.exe、alg.exe,如果是则退出。 2. HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle这几个API使得杀毒软件无法查杀病毒进程。 3. 遍历进程如果进程名为lsass.exe、smss.exe、alg.exe则直接退出,如果是 |