[原创]仿熊猫烧香的病毒.. - 德化论坛

文件名称：penguin.exe

文件大小：732835 byte

AV命名：Trojan.Win32.Agent.ala（IKARUS ）

加壳方式：未

编写语言：Microsoft Visual C++ 6.0

病毒类型：感染型

文件MD5：a44eea16f0c58f3d79e67834223a36de

病毒描述：

该病毒为VC编写，发作时会感染硬盘EXE文件，IFEO劫持安全工具和禁用系统自动更新和防火墙，降低系统安全。但由于编写的缺陷，可能被感染的文件无法执行，提示：invalid data in the file ! 孤独提醒网友们应提高警惕。

行为分析:

1、释放病毒副本：

%Windir%\penguin.exe 732835 字节, HSA

随后调用P处理，修改病毒属性，为隐藏+存档+系统

2、添加注册表，开机自启：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

注册表值penguin.exe = REG_SZ, "C:\winnt\penguin.exe "

3、修改“显示隐藏文件”选项注册表，防止病毒体被删除：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 注册表值CheckedValue

REG_DWORD, 1 修改为 REG_DWORD, 0

4、尝试IFEPO重定向劫持，不过没有实现，只有一个空键。。如果实现的话，以下进程会被劫持：

360rpt.exe

360Safe.exe

360tray.exe

adam.exe

AgentSvr.exe

AppSvc32.exe

autoruns.exe

avgrssvc.exe

AvMonitor.exe

avp.com

avp.exe

CCenter.exe

ccSvcHst.exe

FileDsty.exe

FTCleanerShell.exe

HijackThis.exe

IceSword.exe

iparmo.exe

Iparmor.exe

isPwdSvc.exe

kabaload.exe

KaScrScn.SCR

KASMain.exe

KASTask.exe

KAV32.exe

KAVDX.exe

KAVPFW.exe

KAVSetup.exe

KAVStart.exe

KISLnchr.exe

KMailMon.exe

KMFilter.exe

KPFW32.exe

KPFW32X.exe

KPFWSvc.exe

KRegEx.exe

KRepair.COM

KsLoader.exe

KVCenter.kxp

KvDetect.exe

KvfwMcl.exe

KVMonXP.kxp

KVMonXP_1.kxp

kvol.exe

kvolself.exe

KvReport.kxp

KVScan.kxp

KVSrvXP.exe

KVStub.kxp

kvupload.exe

kvwsc.exe

KvXP.kxp

KvXP_1.kxp

KWatch.exe

KWatch9x.exe

KWatchX.exe

loaddll.exe

MagicSet.exe

mcconsol.exe

mmqczj.exe

mmsk.exe

NAVSetup.exe

nod32krn.exe

nod32kui.exe

PFW.exe

PFWLiveUpdate.exe

QHSET.exe

Ras.exe

Rav.exe

RavMon.exe

RavMonD.exe

RavStub.exe

RavTask.exe

RegClean.exe

rfwcfg.exe

RfwMain.exe

rfwProxy.exe

rfwsrv.exe

RsAgent.exe

Rsaupd.exe

runiep.exe

safelive.exe

scan32.exe

shcfg32.exe

SmartUp.exe

SREng.exe

symlcsvc.exe

SysSafe.exe

TrojanDetector.exe

Trojanwall.exe

TrojDie.kxp

UIHost.exe

UmxAgent.exe

UmxAttachment.exe

UmxCfg.exe

UmxFwHlp.exe

UmxPol.exe

UpLive.EXE.exe

WoptiClean.exe

zxsweep.exe

5、修改注册表，把系统的自动更新和防火墙禁用。（未实现）

6、破坏安全模式，尝试删除一些注册表项，也没有实现。。

可能是：

SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}

7、进程出现2个病毒体，看起来是进程守护，但是并没有那样做。

这可能是这个原因，被感染的文件会有2个捆绑数据。

8、查找硬盘上所有的EXE文件，并感染。

感染方式是捆绑，捆绑头部，2处捆绑地址分别为：B2EA3 165D46

修改入口点，为：0000389F，优先执行病毒体。

哈哈，没有判断系统文件，所以基本可执行系统文件都挂了，除了SFC的自动恢复。

另外该病毒遇到属性为S+R的会跳过，可能是避免引导文件被破坏而无法开机。

被感染过的文件为一只看起来很诡异的小熊。。

9、尝试U盘感染，不过没有实现。=。=

如果实现的话，应该是叫AutoRun.exe。

解决方法：

1、下载：