关于一个感染型病毒的分析、
首先感谢leo108师傅在报销了3个u盘数据后提供的样本、、经测试、、此样本已经能被瑞星、360、金山、完美防御、
但是、在运行病毒后、、再打开实时监控、就不是那么容易了、此样本、瑞星报毒为win32.chinesehacker-2.b。在打开后感染所有可执行文件、而且有些可执行文件被感染后、会不能正常运行、比如瑞星的rsmain.exe、会报错、
但是可以打开瑞星的实时监控、、、当结束掉病毒进程后瑞星可以杀掉、、双击瑞星图标后会出现如下提示、、
附件:
您所在的用户组无法下载或查看附件点击确定后瑞星能杀掉此病毒、
下面是关于此病毒的分析
此病毒会加载库文件：
C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.6028_x-ww_61e65202\comctl32.dll
C:\WINDOWS\system32\imm32.dll
C:\WINDOWS\system32\lpk.dll
C:\WINDOWS\system32\usp10.dll
C:\WINDOWS\system32\wsock32.dll
C:\WINDOWS\system32\ws2_32.dll
C:\WINDOWS\system32\ws2help.dll
创建文件：并运行
C:\WINDOWS\system32\runouce.exe
创建注册表键值：加入开机启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\[runonce]
写入虚拟内存
C:\WINDOWS\explorer.exe
不会了、、没有更深入的了、、求指教、
附件:
您所在的用户组无法下载或查看附件用户系统信息：Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)
