王朝网络
分享
 
 
 

Win32.Troj.Agent.dz.11636

王朝system·作者佚名  2008-08-14
宽屏版  字体: |||超大  

病毒名称(中文):

机器狗变种11636

病毒别名:

机器狗,IGM

威胁级别:

★★☆☆☆

病毒类型:

木马下载器

病毒长度:

11636

影响系统:

Win9xWinMeWinNTWin2000WinXPWin2003

病毒行为:

这是一个可以穿透还原软件的病毒。病毒通过直接读写文件簇来绕过一些文件过滤系统的监视,病毒会释放一个驱动来实现还原软件的穿透,并修改系统文件USERINIT.EXE,中毒后每次开机就会下载大量木马到本地运行。

该病毒就解除还原系统的保护,使冰点、硬盘保护卡实效。接着,该病毒会利用MS06-014和MS07-017系统漏洞和等多个应用软件漏洞,从http://xx.exiao***.com/、http://www.h***.biz/、http://www.xqh***.com/等恶意网址下载多款网游木马,盗取包括传奇、魔兽世界、征途、奇迹等多款网游帐号和密码,严重威胁游戏玩家数字财产的安全。正因为冰点还原软件和硬盘保护卡大多在网吧使用,因此网吧成为该病毒发作的重灾区。

一、病毒运行后,病毒会释放一个驱动文件pcihdd.sys到%system32%drivers\下,

并创建服务加载它,加载完毕后就将其删除.

二、.病毒通过读\\.\PhysicalDrive0(注,和\\.\PhysicalHardDisk0区别开来)来获取MBR的信息,并根据MBR信息来判定第一分区是否为启动分区且分区类型为病毒所支持的,若不是则不继续破坏,目前该病毒支持FAT32,FAT32LBA,NTFS三种分区格式.

三、病毒利用pcihdd.sys创建了\Device\PhysicalHardDisk0及其符号连接\\.\PhysicalHardDisk0来对病毒提供解密,破解还原软件等功能.并只处理:

IRP_MJ_CREATE,IRP_MJ_CLOSE,IRP_MJ_DEVICE_CONTROL.

四、病毒感染%system32%Userinit.exe流程如下:

1.病毒首先打开\\.\PhysicalHardDisk0,这时驱动便找到硬盘的驱动设备\Device\Harddisk0\DR0(实际就是\\.\PhysicalDrive0所指向的设备),并判定是否有被冰点之类还原软件的设备所挂接,若有则解除还原软件的挂接,是还原类软件对\\.\PhysicalDrive0拦截失效.

2.然后打开Userinit.exe,并利用FSCTL_GET_RETRIEVAL_POINTERS来获取文件数据的分布信息,再将控制码0xF0003C04发送给\\.\PhysicalHardDisk0来获取解密的资源数据.

3.最后,通过\\.\PhysicalDrive0将获取的解密数据写入到Userinit.exe的第一簇.由于病毒是直接修改文件簇的,所以感染后的Userinit.exe大小和属性等信息是不变,唯一不同的是文件内容及版本信息.

五、被修改后的Userinit.exe:

1.查询SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon下的Shell键值

2.创建Shell进程

3.等待网络链接,当网络链接畅通后,则从http://yu.8s7.net/cert.cer下载病毒列表

4.对于列表中的文件每个文件,创建一个新线程下载并执行,线程计数加1

5.等待所有线程结束后(线程计数为0)结束进程.

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
>>返回首页<<
推荐阅读
 
 
频道精选
 
静静地坐在废墟上,四周的荒凉一望无际,忽然觉得,凄凉也很美
© 2005- 王朝网络 版权所有