[原创]W32/new-malware!Maximus - 德化论坛

文件名称：niu.exe

文件大小：30625 bytes

AV命名：Virus.Win32.AutoRun.of (Kaspersky)

加壳方式：FSG

编写语言：Delphi

病毒类型：U盘病毒\下载者

文件MD5：e9612843c037fe7b62ded850bf4689c1

传播方式：U盘等移动介质\网页漏洞。

行为分析：

1、释放病毒副本：

%Systemroot%\system32\crsss.exe 30625 字节（注意区别，不是系统文件！）

并查找可用的磁盘，在其目录生成：NIu.exe和Autorun.inf。

2、释放P处理，开启自动播放？

net start shellHWDetection

3、连接60.175.150.1**（安徽省滁州市 电信IDC机房）下载木马。

下了一大堆。。。:

https://*.1030829.com/down.txt

盗号木马品种有：热血江湖\诛仙\完美世界\大话西游\梦幻西游\机战

还带有ARP病毒。。。

4、尝试修改IE主页，不过测试时并未实现，更新地址连接：

https://*.1030829.com/suoding.txt

看了下，是百度的。

5、释放P处理，尝试写入注册表IFEO键值，不过测试时并未实现。。。

如果成功的话，以下进程会被劫持：

REG.exe

360rpt.exe

360Safe.exe

360tray.exe

adam.exe

AgentSvr.exe

AppSvc32.exe

AST.exe

autoruns.exe

avgrssvc.exe

AvMonitor.exe

avp.exe

CCenter.exe

ccSvcHst.exe

FileDsty.exe

HijackThis.exe

FTCleanerShell.exe

IceSword.exe

iparmo.exe

Iparmor.exe

isPwdSvc.exe

kabaload.exe

KASMain.exe

KASTask.exe

KAV32.exe

KAVDX.exe

KAVPFW.exe

KAVSetup.exe

KAVStart.exe

KISLnchr.exe

KMailMon.exe

KMFilter.exe

KPFW32.exe

KPFW32X.exe

KPFWSvc.exe

KRegEx.exe

KsLoader.exe

KvDetect.exe

KvfwMcl.exe

kvol.exe

kvolself.exe

KVSrvXP.exe

kvupload.exe

kvwsc.exe

KWatch.exe

KWatch9x.exe

KWatchX.exe

loaddll.exe

MagicSet.exe

mcconsol.exe

mmqczj.exe

mmsk.exe

NAVSetup.exe

PFW.exe

PFWLiveUpdate.exe

QHSET.exe

Ras.exe

Rav.exe

RavMon.exe

RavMonD.exe

SysSafe.exe

TrojanDetector.exe

symlcsvc.exe

SREng.exe

SmartUp.exe

shcfg32.exe

scan32.exe

safelive.exe

runiep.exe

Rsaupd.exe

RsAgent.exe

rfwsrv.exe

RfwMain.exe

rfwcfg.exe

RegClean.exe

rfwProxy.exe

RavTask.exe

RavStub.exe

Trojanwall.exe

UIHost.exe

UmxAgent.exe

UmxAttachment.exe

UmxCfg.exe

UmxFwHlp.exe

UmxPol.exe

UpLive.EXE.exe

WoptiClean.exe

zxsweep.exe

regedit.exe

msconfig.exe

mmc.exe

taskmgr.exe

6、尝试关闭窗口的一些“敏感字”，连接https://*.1030829.com/guanjian.txt更新列表

保存至%Systemroot%\system32\test1.txt。

现有列表：

木马

病毒

360

瑞星

卡吧

金山

毒霸

江名（作者自己打错了，汗）

可能导致一些程序或浏览的网页会被关闭。

7、遍历磁盘，查找*htm、INDEX.PHP、DEFAULT.PHP、CONN.ASP等网页文件，插入一段JS代码：

https://www.1030829.com/*.htm

8、查找硬盘文件，有遇到*.GHO的则删除。

可能导致无法使用GHOST还原。

9、释放一个P处理，尝试把crsss.exe写入注册表启动项，不过还是没有实现``=。=

10、尝试修改注册表，使“系统显示隐藏文件功能失效”。使该功能选项成：

禽兽尚有一丝怜悯,我不是禽兽,所以我没有怜悯。

测试时候仍然没有实现。。

并试图删除安全模式一些键值，也没有成功。

11、还是修改注册表，禁用系统自动更新和防火墙。

键值：NoAutoUpdate与EnableFirewall。

12、每几毫秒为周期访问系统可用的磁盘，如发现NIu.exe和Autorun.inf不在则重写。

同时也实现了U盘感染。

解决方法：

1、https://free.ys168.com/?gudugengkekao下载：

修复IFEO之XP系统专用.rar 72KB

sreng2.5.zip 780KB

PowerRmv.com 101KB

显示隐藏文件.reg 9KB

2、断开网络，关闭不需要的进程。以下步骤要按顺序。

3、重启电脑，按F8进入安全模式，如果进不了的话，就正常模式吧！

4、打开任务管理器，如果打开不的话，运行那个“修改IFEO之XP系统专用”。

5、打开任务管理器，关闭crsss.exe进程。