病毒名称( 中文): 超级 AV 终结者病毒别名: 要你命三千, 对抗型大杀器, 混血魔头威胁级别: ★★★☆☆病毒类型: 木马下载器病毒长度: 50688 影响系统: Win9x WinMe WinNT Win2000 WinXP Win2003 病毒行为: 这是一个对抗能力极强的下载器。它结合了 AV 终结者、机器狗、扫荡波、 autorun 病毒的众多特点, 行为及其恶劣。它主要是利用 MS08067 漏洞在局域网内传播,对抗安全软件,下载大量的木马。由于带有穿透功能,对网吧和局域网用户影响很大。一、文件分析 1) 母体 dll 导出函数 explore 获取 ShellExecuteA ,并调用” explorer open .”打开当前目录。用于每个驱动器下打开目录。导出函数 SchedServiceMain 、 ServiceMain 、 SvchostEntry_W32Time a) 检测调试器:查找进程 , , , , , 等进程,如果存在则退出,不存在则调用 IsDebuggerPresent ,检测当前是否被调试,是的话退出。 b) 创建 NSDownLoader20Vip02 互斥体。 c) 关卡巴进程。 d) 释放资源 102 到%sys32dir%\, 并创建服务 NsRk1 ,启动, 来恢复 SSDT 。 e) 扫描当前系统进程列表, 发现有安全软件进程, 就调用驱动中的 ZwTerminateProcess 将它关闭。进程列表 windows VSSCAN40 TDS2- TDS2- PpP
金山急救箱1 来自淘豆网m.daumloan.com转载请标明出处.
