|
|
|---|---|
|
|
沙发
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
最近被一个spoolsv.exe病毒搞的郁闷死
简单说一下：主程序为spoolsv.exe,ASPack加的壳，主要是访问这个网站： http://verify.mir8.info/ 估计是盗传奇账号的？ spoolsv.exe位于C:\Windows\目录下，删除会，大概半个小时后又会出来，没找到还有什么地方会把它弄出来的，把这个样本提交给rising，音信全无，后来今天晚上发现KAV能查出来这个东西了，KAV今天更新的病毒库，看来是新病毒啊，查出来是 Trojan-Downloader.Win32.Delf.bex 现在的问题是：IE会自动访问上面这个网站，然后下载文件 被KAV的Web病毒保护发现了： 2007-02-05 21:43:58 恶意 HTTP 对象 <http://verify.mir8.info/EF7E3A91-7123-4000-A255-E0ABAC03B0CA/SDI_20061207.exe/ASPack>: 拒绝访问. 不知道它怎样利用IE自动访问这个网站的？ 还望爱暴兄指点迷津。 
|
|
|
估计爱暴兄就是这些病毒的作者。。。
几千万通缉的啊。。。 |
|
|
|
|
|
最初由 cnbragon 发布 一晚上，终于搞定这个东西了 
|
|
|
|
|
|
最初由 发布 越来越毒了啊。cnbragon怎么搞定的，我也刚刚遇到。汗 |
|
|
最初由 scship 发布  说说笑可以，只是被别人一传十之类的话，你可得打pp哦 
|
|
|
最初由 cnbragon 发布 方便的话就把这东西放上来，有时间我看看。
|
|
|
强人
|
|
|
|
|
|
loveboom兄真是强啊 有空教教小弟
|
|
|
|
|
|
|
|
|
最初由 newsearch 发布 spoolsv.exe只是这个马的表面，它只负责点击一个网页，提高其点击率 它的主要的模块是在c:\windows\system32\cryptchr.dll里，这个东西是这样加载的 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RegMon32] <WinlogonNotify: RegMon32><cryptchr.dll> [Microsoft Corporation] cryptchr.dll里导出SysLogon和SysLogOff两个函数，SysLogon函数 003E530C >/>mov dword ptr [3E767C], 6DDD00 003E5316 |>xor eax, eax 003E5318 |>mov [3E7680], eax 003E531D |>mov eax, 003E76A8 003E5322 |>call 003E35B4 003E5327 |>push 1 003E5329 |>push 0 003E532B |>push 003E52DC 003E5330 |>push 0 003E5332 |>mov eax, [3E60D8] 003E5337 |>push eax 003E5338 |>call <jmp.&winmm.timeSetEvent> 003E533D |>mov [3E7684], eax 003E5342 |>call 003E4C44 003E5347 |>call 003E4D60 003E534C \>retn SysLogOff函数 003E5350 >/$ E8 3BFDFFFF call 003E5090 003E5355 |. 833D 84763E00 0>cmp dword ptr [3E7684], 0 003E535C |. 74 0B je short 003E5369 003E535E |. A1 84763E00 mov eax, [3E7684] 003E5363 |. 50 push eax 003E5364 |. E8 ABF7FFFF call <jmp.&winmm.timeKillEvent> 003E5369 \> C3 retn 彻底清除的步骤： 1. 终止spoolsv.exe 2. 使用SRE删除掉这一注册表项[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\RegMon32] <WinlogonNotify: RegMon32><cryptchr.dll> [Microsoft Corporation] 3. 删除c:\windows\system32\cryptchr.dll 删除c:\windows\Temp\FileMap.dat 删除c:\windows\spoolsv.exe 删除C:\Documents and Settings\Username\Local Settings\Temporary Internet Files\Content.IE5\里面所有的东西，特别是SDI_20061207[1].exe 删除C:\Documents and Settings\Username\Local Settings\Temporary Internet Files下面所有的东西 BTW：好像是上了黄网才会感染，当时我开了卡巴，但那天卡巴的病毒库还查不出这个，但昨天升级的病毒库当中就可以查出来了，但也是除标不除本，只删除掉spoolsv.exe，没用。 还有，Rising给了回复，说会在新版本中加入对它的查杀，但因为我没有提到cryptchr.dll，估计他们也是除标不除本
|
|
|
|
