图解当前流行的一个难缠病毒的手杀流程 bbs.ikaka.com

baohe - 2009-5-28 11:39:00

此毒变种较多。不同变种的行为略有差异。共同点是：
1、释放一堆病毒dll、.fon文件到中招系统中。这些.dll和.fon狂插系统和应用程序进程。
2、释放一个病毒驱动到drivers目录下。
3、释放autorun.inf和一个配套的.exe到各分区根目录。
4、访问网络，下载大量病毒到中招系统中。
此外，某些变种监视IceSword、autoruns等手杀工具，并添加一堆IFEO劫持项，以此封杀这些手杀工具以及常用杀软和防火墙。

今天观察了一个假“快播”中的此毒变种。样本：http://bbs.ikaka.com/showtopic-8628166.aspx

现将手杀流程罗列如下，供参考。

附件: 您所在的用户组无法下载或查看附件

附件: 您所在的用户组无法下载或查看附件

遇到IFEO劫持IceSword、autoruns等工具的变种时，可用第三方注册表编辑器去掉相关IFEO劫持项。注销、再登陆后就可以运行这些手杀工具了。

附件: 您所在的用户组无法下载或查看附件

附件: 您所在的用户组无法下载或查看附件

删除所有病毒文件后，清理注册表：

附件: 您所在的用户组无法下载或查看附件

用户系统信息：Opera/9.64 (Windows NT 5.1; U; Edition IBIS; zh-cn) Presto/2.1.1

baohe - 2009-5-28 11:39:00

核查注册表清理效果

附件: 您所在的用户组无法下载或查看附件

smallyou93 - 2009-5-28 20:32:00

:kaka2: 权限留管理员组？

baohe - 2009-5-28 21:09:00

引用:

原帖由 smallyou93 于 2009-5-28 20:32:00 发表
:kaka2: 权限留管理员组？

病毒文件的访问权限，从根儿上禁。
看见没？唯一的管理员组，所有操作权限－－－－－－禁止！

只要你找全了病毒文件，并按该图所示一一设置妥当，病毒程序就废了。病毒文件，删与不删，没有本质区别。

smallyou93 - 2009-5-29 23:01:00

:kaka1: 谢猫叔

:kaka12: cacls命令貌似也能实现（不删除病毒文件的前提下）

CPU_ring0 - 2009-6-3 23:22:00

该用户帖子内容已被屏蔽

baohe - 2009-6-4 21:30:00

引用:

原帖由 CPU_ring0 于 2009-6-3 23:22:00 发表
貌似很久以前的技术文章了。

我的水平不高，技术吗，也比不上你。很是惭愧。但这帖子是我动手实践后自己写的。

he酷儿晖 - 2009-6-5 13:17:00

利用权限手杀，楼主强大啊，谢谢分享~~

6709的空 - 2009-6-5 15:57:00

学习了

瑞星卡卡安全论坛