当前位置：首页 > news >正文

旅游网站首页设计平面设计免费课程视频

news 2025/12/31 16:46:53

旅游网站首页设计,平面设计免费课程视频,简述一个网站开发流程,北京旅游网站排名病毒名#xff1a;Worm.Pabug.ck 大小#xff1a;38,132 字节 MD5#xff1a;2391109c40ccb0f982b86af86cfbc900 加壳方式#xff1a;FSG2.0 编写语言#xff1a;Delphi 传播方式#xff1a;通过移动介质或网页恶意脚本传播经虚拟机中运行#xff0c;与脱壳后OD分析…病毒名Worm.Pabug.ck 大小38,132 字节 MD52391109c40ccb0f982b86af86cfbc900 加壳方式FSG2.0 编写语言Delphi 传播方式通过移动介质或网页恶意脚本传播经虚拟机中运行与脱壳后OD分析结合其行为如下文件创建 %systemroot%/system32/gfosdg.exe %systemroot%/system32/gfosdg.dll %systemroot%/system32/severe.exe %systemroot%/system32/drivers/mpnxyl.exe %systemroot%/system32/drivers/conime.exe %systemroot%/system32/hx1.bat %systemroot%/system32/noruns.reg X:/OSO.exe X:/autorun.inf X指非系统盘符 %systemroot%是环境变量对于装在C盘的Windows XP系统默认路径为C:/WINDOWS文件夹以下以此假设进行分析。创建进程 %systemroot%/system32/gfosdg.exe %systemroot%/system32/severe.exe %systemroot%/system32/drivers/conime.exe 使用net stop命令结束可能存在的杀毒软件服务调用sc.exe config [对应服务] startdisabled 禁用这些服务被结束和禁用的服务包括 srservice sharedaccess此即系统自带防火墙——笔者注 KVWSC KVSrvXP kavsvc RsRavMon RsCCenter 其中在结束瑞星服务的过程中由于瑞星会弹出提示病毒作了相应处理用FindWindowA函数捕捉标题为瑞星提示的窗口用FindWindowExA函数找到其中“是(Y)”的按钮用SendMessageA函数向系统发送信息相当于按下此按钮禁止或结束以下进程运行包括但不限于 PFW.exe Kav.exe KVOL.exe KVFW.exe adam.exe qqav.exe qqkav.exe TBMon.exe kav32.exe kvwsc.exe CCAPP.exe EGHOST.exe KRegEx.exe kavsvc.exe VPTray.exe RAVMON.exe KavPFW.exe SHSTAT.exe RavTask.exe TrojDie.kxp Iparmor.exe MAILMON.exe MCAGENT.exe KAVPLUS.exe RavMonD.exe Rtvscan.exe Nvsvc32.exe KVMonXP.exe Kvsrvxp.exe CCenter.exe KpopMon.exe RfwMain.exe KWATCHUI.exe MCVSESCN.exe MSKAGENT.exe kvolself.exe KVCenter.kxp kavstart.exe RAVTIMER.exe RRfwMain.exe FireTray.exe UpdaterUI.exe KVSrvXp_1.exe RavService.exe 创建noruns.reg并导入注册表之后删除此文件。导入内容 [HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer] NoDriveTypeAutoRundword:b5 改变驱动器的autorun方式在我的虚拟机里没有实现修改注册表创建启动项后来在SREng日志中可见的项目 [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run] mpnxylC:/WINDOWS/system32/gfosdg.exe [N/A] gfosdgC:/WINDOWS/system32/severe.exe [N/A] [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon] shellExplorer.exe C:/WINDOWS/system32/drivers/conime.exe [N/A] 为预防瑞星注册表监控提示故伎重施用FindWindowA函数捕捉标题为“瑞星注册表监控提示”的窗口用mouse_event控制鼠标自动选择允许修改。访问注册表 [HKEY_LOCAL_MACHINE/software/microsoft/windows/currentversion/explorer/advanced/folder/hidden/showall] CheckedValue键破坏显示隐藏文件的功能这一点在我的虚拟机中没有实现可能是被TINY或SSM默认阻止了然而做了这么多工作除去杀毒软件之后作者似乎觉得还不保险他终于使出了“杀手锏” 在注册表 [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options] 创建以安全软件程序名为名的子项子项中创建子键 DebuggerC://WINDOWS//system32//drivers//mpnxyl.exe 使得这些程序在被双击运行时均会转为运行病毒文件mpnxyl.exe 形如 [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Image File Execution Options/avp.exe] DebuggerC://WINDOWS//system32//drivers//mpnxyl.exe autoruns的日志中可以清楚地看到这些项目以及遭到这种手法“蹂躏”的程序 360Safe.exe c:/windows/system32/drivers/mpnxyl.exe adam.exe c:/windows/system32/drivers/mpnxyl.exe avp.com c:/windows/system32/drivers/mpnxyl.exe avp.exe c:/windows/system32/drivers/mpnxyl.exe IceSword.exe c:/windows/system32/drivers/mpnxyl.exe iparmo.exe c:/windows/system32/drivers/mpnxyl.exe kabaload.exe c:/windows/system32/drivers/mpnxyl.exe KRegEx.exe c:/windows/system32/drivers/mpnxyl.exe KvDetect.exe c:/windows/system32/drivers/mpnxyl.exe KVMonXP.kxp c:/windows/system32/drivers/mpnxyl.exe KvXP.kxp c:/windows/system32/drivers/mpnxyl.exe MagicSet.exe c:/windows/system32/drivers/mpnxyl.exe mmsk.exe c:/windows/system32/drivers/mpnxyl.exe msconfig.com c:/windows/system32/drivers/mpnxyl.exe msconfig.exe c:/windows/system32/drivers/mpnxyl.exe PFW.exe c:/windows/system32/drivers/mpnxyl.exe PFWLiveUpdate.exe c:/windows/system32/drivers/mpnxyl.exe QQDoctor.exe c:/windows/system32/drivers/mpnxyl.exe Ras.exe c:/windows/system32/drivers/mpnxyl.exe Rav.exe c:/windows/system32/drivers/mpnxyl.exe RavMon.exe c:/windows/system32/drivers/mpnxyl.exe regedit.com c:/windows/system32/drivers/mpnxyl.exe regedit.exe c:/windows/system32/drivers/mpnxyl.exe runiep.exe c:/windows/system32/drivers/mpnxyl.exe SREng.EXE c:/windows/system32/drivers/mpnxyl.exe TrojDie.kxp c:/windows/system32/drivers/mpnxyl.exe WoptiClean.exe c:/windows/system32/drivers/mpnxyl.exe 删除卡卡助手的dll文件kakatool.dll的确这么做了虚拟机运行的结果和程序代码里的内容相映证为了堵死中毒者的“后路”又采取了另一种卑劣的手法修改hosts文件屏蔽杀毒软件厂商的网站卡卡社区“有幸”成为被屏蔽的其中一员这是后来用SREng看到的结果在程序代码里也有相应内容 127.0.0.1 mmsk.cn 127.0.0.1 ikaka.com 127.0.0.1 safe.qq.com 127.0.0.1 360safe.com 127.0.0.1 www.mmsk.cn 127.0.0.1 www.ikaka.com 127.0.0.1 tool.ikaka.com 127.0.0.1 www.360safe.com 127.0.0.1 zs.kingsoft.com 127.0.0.1 forum.ikaka.com 127.0.0.1 up.rising.com.cn 127.0.0.1 scan.kingsoft.com 127.0.0.1 kvup.jiangmin.com 127.0.0.1 reg.rising.com.cn 127.0.0.1 update.rising.com.cn 127.0.0.1 update7.jiangmin.com 127.0.0.1 download.rising.com.cn 127.0.0.1 dnl-us1.kaspersky-labs.com 127.0.0.1 dnl-us2.kaspersky-labs.com 127.0.0.1 dnl-us3.kaspersky-labs.com 127.0.0.1 dnl-us4.kaspersky-labs.com 127.0.0.1 dnl-us5.kaspersky-labs.com 127.0.0.1 dnl-us6.kaspersky-labs.com 127.0.0.1 dnl-us7.kaspersky-labs.com 127.0.0.1 dnl-us8.kaspersky-labs.com 127.0.0.1 dnl-us9.kaspersky-labs.com 127.0.0.1 dnl-us10.kaspersky-labs.com 127.0.0.1 dnl-eu1.kaspersky-labs.com 127.0.0.1 dnl-eu2.kaspersky-labs.com 127.0.0.1 dnl-eu3.kaspersky-labs.com 127.0.0.1 dnl-eu4.kaspersky-labs.com 127.0.0.1 dnl-eu5.kaspersky-labs.com 127.0.0.1 dnl-eu6.kaspersky-labs.com 127.0.0.1 dnl-eu7.kaspersky-labs.com 127.0.0.1 dnl-eu8.kaspersky-labs.com 127.0.0.1 dnl-eu9.kaspersky-labs.com 127.0.0.1 dnl-eu10.kaspersky-labs.com 另外 hx1.bat内容 echo off set date2004-1-22 ping ** localhost nul date %date% del %0 改日期不过在虚拟机里没有实现 autorun.inf的内容 [AutoRun] openOSO.exe shellexecuteOSO.exe shell/Auto/commandOSO.exe 如果你要从右键菜单来判别很不幸右键菜单完全看不出异常无论你是双击还是右键同样会激活病毒 TINY还记录到病毒关闭系统还原服务后再打开。这恐怕会导致丢失还原点的结果。至此这个十分恶劣的病毒的行为分析告一段落下面介绍清除方法上面内容看得头晕的会员们直接看清除方法即可清除方法归结为一句话“夹缝中求生” IceSword.exe、SREng.exe均被禁但只需将文件改名照样可以运行 autoruns.exe则不在被禁的行列其他的被禁程序一步步解禁具体过程结束进程 %systemroot%/system32/gfosdg.exe %systemroot%/system32/severe.exe %systemroot%/system32/drivers/conime.exe 没有发现此病毒禁用任务管理器。也可以用其他工具如procexp等用autoruns删除以下项目建议用autoruns一是没被禁二是一目了然注意先选Options-Hide Microsoft Entries 360Safe.exe c:/windows/system32/drivers/mpnxyl.exe adam.exe c:/windows/system32/drivers/mpnxyl.exe avp.com c:/windows/system32/drivers/mpnxyl.exe avp.exe c:/windows/system32/drivers/mpnxyl.exe IceSword.exe c:/windows/system32/drivers/mpnxyl.exe iparmo.exe c:/windows/system32/drivers/mpnxyl.exe kabaload.exe c:/windows/system32/drivers/mpnxyl.exe KRegEx.exe c:/windows/system32/drivers/mpnxyl.exe KvDetect.exe c:/windows/system32/drivers/mpnxyl.exe KVMonXP.kxp c:/windows/system32/drivers/mpnxyl.exe KvXP.kxp c:/windows/system32/drivers/mpnxyl.exe MagicSet.exe c:/windows/system32/drivers/mpnxyl.exe mmsk.exe c:/windows/system32/drivers/mpnxyl.exe msconfig.com c:/windows/system32/drivers/mpnxyl.exe msconfig.exe c:/windows/system32/drivers/mpnxyl.exe PFW.exe c:/windows/system32/drivers/mpnxyl.exe PFWLiveUpdate.exe c:/windows/system32/drivers/mpnxyl.exe QQDoctor.exe c:/windows/system32/drivers/mpnxyl.exe Ras.exe c:/windows/system32/drivers/mpnxyl.exe Rav.exe c:/windows/system32/drivers/mpnxyl.exe RavMon.exe c:/windows/system32/drivers/mpnxyl.exe regedit.com c:/windows/system32/drivers/mpnxyl.exe regedit.exe c:/windows/system32/drivers/mpnxyl.exe runiep.exe c:/windows/system32/drivers/mpnxyl.exe SREng.EXE c:/windows/system32/drivers/mpnxyl.exe TrojDie.kxp c:/windows/system32/drivers/mpnxyl.exe WoptiClean.exe c:/windows/system32/drivers/mpnxyl.exe 这样包括IceSword、SREng、注册表编辑器和系统配置实用程序在内的部分程序不再被禁止删除或修改启动项以用SREng为例在“启动项目”-“注册表”中删除 [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run] mpnxylC:/WINDOWS/system32/gfosdg.exe [N/A] gfosdgC:/WINDOWS/system32/severe.exe [N/A] 双击以下项目把“值”中Explorer.exe后面的内容删除 [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows NT/CurrentVersion/Winlogon] shellExplorer.exe C:/WINDOWS/system32/drivers/conime.exe [N/A] 删除文件由于非系统盘即便右键打开也会有危险应该采用其他方法推荐用IceSword或WINRAR来做删除 %systemroot%/system32/gfosdg.exe %systemroot%/system32/gfosdg.dll %systemroot%/system32/severe.exe %systemroot%/system32/drivers/mpnxyl.exe %systemroot%/system32/drivers/conime.exe %systemroot%/system32/hx1.bat %systemroot%/system32/noruns.reg X:/OSO.exe X:/autorun.inf 系统修复与清理在注册表展开 [HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Advanced/Folder/Hidden/SHOWALL] 建议将原CheckedValue键删除再新建正常的键值 CheckedValuedword:00000001 [HKEY_CURRENT_USER/Software/Microsoft/Windows/CurrentVersion/Policies/Explorer] NoDriveTypeAutoRun键的值是否要改要改为什么视乎各人所需一般默认为91十六进制的此键的含义请搜索网上资料在此不再赘述 HOSTS文件的清理可以用记事本打开%systemroot%/system32/drivers/etc/hosts清除被病毒加入的内容也可以用SREng在“系统修复”-“HOSTS文件”中点“重置”然后点“保存” 最后修复一下服务被破坏的杀毒软件。小结从拿到样本到方法写完历时整整五小时。之所以要说得如此详细是因为这个病毒相当的典型尤其是它对付安全软件的几种方法。右键菜单没变化也是比较“隐蔽”而且给清除带来麻烦的一个特征。对付这个病毒也要在“知己知彼”的基础上灵活运用方法和工具。 1月31日艾玛补充 http://forum.ikaka.com/topic.asp?board28artid8261581 net stop sharedaccess这项服务仅是停用禁用上网助手、木马助手、天网个人防火墙、金山毒霸扫描另有文件生成C:/重要资料.exe C:/美女游戏.pif gfosdg.dll hook及键盘记录偷取QQ账户网页收信以上资料确定就是盗Q黑侠:-) 艾玛的后续补充说明这个病毒的确存在生成器即使是一般的电脑使用者得到生成器也可以轻松生成此类病毒。在此再提醒广大用户上网和使用移动介质时一定要小心谨慎。针对会员们普遍反映清除过程仍然比较艰难再补充一下一、mpnxyl.exe和gfosdg.exe、gfosdg.dll其文件名是可变的不过并非无章可循一般有这样的特征如我第一次运行时产生以下启动项 [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run] mpnxylC:/WINDOWS/system32/gfosdg.exe [N/A] gfosdgC:/WINDOWS/system32/severe.exe [N/A] severe.exe的启动项键名gfosdg正是其中一个病毒程序gfosdg.exe的文件名而gfosdg.exe的启动项键名mpnxyl则就是drivers文件夹下的病毒文件mpnxyl.exe的文件名再看另一份中毒日志中相应项目 [HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run] jypexxC:/WINDOWS/system32/bdelys.exe [N/A] bdelysC:/WINDOWS/system32/severe.exe [N/A] 可发现severe.exe的启动项键名bdelys正是其中一个病毒程序bdelys.exe的文件名而bdelys.exe的启动项键名jypexx则应该就是drivers文件夹下的病毒文件名所以在这份日志中原来的 %systemroot%/system32/gfosdg.exe %systemroot%/system32/gfosdg.dll %systemroot%/system32/drivers/mpnxyl.exe 相应被替换为 %systemroot%/system32/bdelys.exe %systemroot%/system32/bdelys.dll %systemroot%/system32/drivers/jypexx.exe 二、关于结束进程比较困难的问题。考虑到进程间可能有进程守护再加上dll插入建议用procexp.exe置顶工具帖中有来结束进程或者将IceSword.exe置顶工具帖中有改名如改为Sword.exe后运行这样就不会再受IFEO的限制勾选“禁止进线程创建”然后再结束进程。记得处理完病毒后“禁止进线程创建”的勾要再取消。三、文件删除如果成功结束这几个进程exe文件的删除不会有太大问题但是随机文件名的dll文件如本例的gfosdg.dll可能插入不少应用程序进程直接删除有困难。建议选用以下方法其中之一 1.先删除exe文件重启后再删除dll文件。由于gfosdg.dll是通过gfosdg.exe来加载删除gfosdg.exe和其他病毒exe文件之后重启电脑gfosdg.dll即不再加载可顺利删除 2.同样用IceSword仍需改名见上文来从被插入的进程中卸除dll后再删除或强制删除。

查看全文

http://www.w-s-a.com/news/441981/