“柯南”病毒 - 德化论坛

其实这是之前的Rose病毒的一个新变种，大多数杀软都能识别。

文件名称：sxs.exe

文件大小：40663 byte

AV命名：

卡巴斯基：Trojan-PSW.Win32.QQRob

瑞星：Worm.Pabug.l

加壳方式：Hmimys-Packer＋Aspack

编写语言：Delphi

文件MD5：5aa93a60fcc9865fa2a60d9e73f2e373

行为分析：

1、释放文件：

C:\WINDOWS\system32\SVOHOST.exe 40663 字节

C:\WINDOWS\system32\winscok.dll 41120 字节

2、从D开始，判断可用磁盘（Z），生成sxs.exe 和autorun.inf

3、添加启动：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

SoundMam = REG_SZ, "C:\windows\system32\SVOHOST.exe"

3、修改注册表，保证U盘自动运行（病毒体内为加密显示）：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

NoDriveTypeAutoRun修改为 REG_DWORD, 189

4、%Systemroot%system32释放noruns.reg。为：

REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:bd

？？？？

5、尝试关闭：

sc.exe

cmd.exe

net.exe

sc1.exe

net1.exe

PFW.exe

Kav.exe

KVOL.exe

KVFW.exe

TBMon.exe

kav32.exe

kvwsc.exe

CCAPP.exe

EGHOST.exe

KRegEx.exe

kavsvc.exe

VPTray.exe

RAVMON.exe

KavPFW.exe

SHSTAT.exe

RavTask.exe

Iparmor.exe

MAILMON.exe

MCAGENT.exe

KAVPLUS.exe

RavMonD.exe

Rtvscan.exe

Nvsvc32.exe

KVMonXP.exe

Kvsrvxp.exe

CCenter.exe

KpopMon.exe

RfwMain.exe

KWATCHUI.exe

MCVSESCN.exe

MSKAGENT.exe

kvolself.exe

kavstart.exe

RAVTIMER.exe

RRfwMain.exe

FireTray.exe

UpdaterUI.exe

KVSrvXp_1.exe

RavService.exe

6、关闭窗口：

QQKav

QQAV

TKillqqvir

TKqqviru

qqav

TApplication

网镖

木马

噬菌体

删除

7、禁用服务：

stop sharedaccess

stop KVWSC

config KVWSC start= disabled

stop KVSrvXP

config KVSrvXP start= disabled

stop kavsvc

config kavsvc start= disabled

config RsRavMon start= disabled

stop RsCCenter

config RsCCenter start= disabled

stop RsRavMon

8、删除注册表启动项（如果有）：

Software\Microsoft\Windows\CurrentVersion\Run

RavTask

KvMonXP

YLive

KAVPersonal50

SVCHOXT

NTdhcp

Winhoxt

yassistse

9、查找互斥体“111111111”，如不存在则释放资源dllfile（winscok.dll）。

10、创建钩子（Hook）：WH_KEYBOARD、WH_MOUSE、WH_CALLWNDPROC。

11、检测QQ.exe启动，并将winscok.dll注入。并获得QQ绝对路径，删除npkcrypt.sys。

12、记录QQ帐号密码后，发送至*****@tom.com和https://www.ctv163.com/alexa/Images/key.asp。

密码邮箱都已失效。

13、每隔0.8秒查找"瑞星提示"窗口，并往"是(&Y)"发送BM_CLICK。

14、解密病毒体内字符串，发现一些链接，但测试时未有网络行为：

堆栈 ss:[0012FDE4]=00DE0040, (ASCII "https://www.ctv163.com/")

edx=004057EA (sxs_unpa.004057EA), ASCII "lqrs>*)tsr(`ps757+eli*"

堆栈 ss:[0012FDDC]=00DE00A8, (ASCII "https://www.677977.com/")

edx=0040580A (sxs_unpa.0040580A), ASCII "lqrs>*)tsr(532?43+eli*"

https://update.cd321.net/sie.txt

https://update.cd321.net/hie.txt

dqhx1.txt

…………

15、每隔一段时间会检测自身启动项，并在可用磁盘建立病毒附件。

16、还有其他小细节，不详细写了:-)

解决方法：

1、下载SREng直接放桌面：

https://www.kingzoo.com/tools/孤独更可靠/sreng2.5.zip

复制完整链接呃。。