[原创]AV Killer - 德化论坛

又更新了（为什么要说又？）``

今天硬是没吃晚饭（害我挨K了，郁闷），跟了2小时，技术方面提高不少~~~

……………………………………………………………………

文件名称：随机7位数字，可能是例如：uncpqnu.exe、nauumse.exe

中文别名：AV终结者

危害等级：★★★★★

文件大小：142200 byte

AV命名：Worm.Win32.AvKiller

加壳方式：FSG 2.0

编写语言：Borland Delphi 6.0-7.0

病毒类型：AVKiller

文件MD5：72edb66681101528e6b106152ceacbb2

传播方式：U盘等移动介质、网页漏洞。

行为分析：

1、释放病毒副本：

C:\Program Files\meex.exe 32497 字节

C:\Program Files\Common Files\Microsoft Shared\trcussu.inf 169 字节

C:\Program Files\Common Files\Microsoft Shared\uncpqnu.exe 32497 字节

C:\Program Files\Common Files\System\rsqsqkk.exe 32497 字节

C:\Program Files\Common Files\System\trcussu.inf 169 字节

并读取D-Z盘，在其目录下生成Autorun.inf和nauumse.exe（随机7）。

2、删除或重命名以下文件：

NATIVE.EXE

bsmain.exe

verclsid.exe

3、添加注册表，开机启动：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

注册表值nauumse = C:\Program Files\Common Files\Microsoft Shared\uncpqnu.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\

注册表值 trcussu =C:\Program Files\Common Files\System\rsqsqkk.exe

4、驻进程的有2个随机7位的病毒，使用进程守护，每隔一段时间检测对方存在。

若检测不到，则重新加载病毒程序。

5、每隔几毫秒检测磁盘下的Autorun.inf和病毒文件，如不在则重新生成。

6、当自身注册表启动项被删除的时候，则重新写回。

7、IFEO重定向劫持，基本上有名气的安全工具都挂了。

8、尝试关闭一些进程，也就是IFEO劫持的安全工具进程，列一部分：

QQKav.exe

QQDoctor.exe

EGHOST.exe

360Safe.exe

iparmo.exe

adam.exe

IceSword.exe

360rpt.exe

360tray.exe

AgentSvr.exe

AppSvc32.exe

autoruns.exe

avgrssvc.exe

AvMonitor.exe

CCenter.exe

ccSvcHst.exe

FileDsty.exe

FTCleanerShell.exe

HijackThis.exe

Iparmor.exe

isPwdSvc.exe

irsetup.exe

scan32.exe

shcfg32.exe

SmartUp.exe

SREng.EXE

symlcsvc.exe

SysSafe.exe

TrojanDetector.exe

Trojanwall.exe

UIHost.exe

UmxAgent.exe

UmxAttachment.exe

UmxCfg.exe

UmxFwHlp.exe

UmxPol.exe

UpLive.exe

upiea.exe

AST.exe

8、查找窗口字体，关闭一些和杀毒有关的字样：

江民 瑞星 毒霸 恶意 流氓软 上报 QQ安全 举报 预警 进程 System Shared 微点 上報 舉報 诊断 杀毒 Sysint VirusTrojan 报警 autorun AV终结 一键 木马 木馬 殺毒 查毒 病毒 360安全 USB :\ - WinRAR Ghost 还原 Process usb 清理助

9、修改注册表，禁用系统自动更新、防火墙和系统帮助等。

10、判断磁盘类型，如果是NTFS的话，则调用命令：

cmd /c echo Y| cacls autorun.inf /t /g everyone:F

保证Autorun.inf权限不被控制。

11、作者似乎还不放心，另外修改了U盘自动启动功能：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun

NoDriveTypeAutoRun = REG_DWORD, 145

12、利用键盘映射，关闭冰刃：

0040F595 > \68 68F64000 push 0040F668 ; /Title = "IceSword"

0040F59A . 6A 00 push 0 ; |Class = 0

0040F59C . E8 2B52FFFF call <jmp.&user32.FindWindowA> ; \FindWindowA

0040F5A1 . 8BD8 mov ebx, eax

0040F5A3 . 85DB test ebx, ebx

0040F5A5 . 74 30 je short 0040F5D7

0040F5A7 . 6A 00 push 0 ; /lParam = 0

0040F5A9 . 6A 00 push 0 ; |wParam = 0