磁碟机病毒wormvcingtw102400分析报告～

《磁碟机病毒wormvcingtw102400分析报告～》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、磁碟机病毒WormVcingTwl02400分析报告〜病毒名称：Worm.VcingT.w.102400中文名称：磁碟机变种病毒长度：36864威胁级别：2病毒类型：Trojan病毒简介：这是一个下载者病毒，会关闭一些安全工具和杀毒软件并阻止其运行运行，并会不断检测窗口来关闭一些杀毒软件及安全辅助工具,破坏安全模式，删除一些杀毒软件和实时监控的服务,远程注入到其它进程来启动被结束进程的病毒,反复写注册表来破坏系统安全模式，病毒会在每个分区下释放AUTORUN.INF来达到自运行.病毒功能：一、病毒通过修改系统默认加载的DLL列表项来实现DLL注入，并在注入后设置全局钩子

2、.通过远程进程注入，并检测是否有相应安全软件和管理工具。通过枚举进程名，通过搜索以下关键字来关闭进程：Ravavptwisterkvwatchkissvcscanguard找到带有关键字的窗口后，就往目标窗口发送大量的垃圾消息，是其无法处理而进入假死的状态，当目标窗口接受到退出、销毁和WM_ENDSESSION消息就会异常退出。病毒关闭杀毒软件的方法没有什么创新,但关键字变的更短，使一些名字相近的进程或窗口也被关闭。二、修改注册表破坏文件夹选项的隐藏属性修改，使隐藏的文件无法被显示.1.png(65.63KB)XX-3-1022:38三、删除注册表里关于安全模式设置的值

3、，使安全模式被破坏。病毒会反复改写注册表，在病毒被彻底清除之前，使清理专家和AV终结者专杀等修复安全模式的工具失效。四、在C:盘目录下释放一个NetApiOO.sys的驱动文件,通过该驱动隐藏和保护自身。essionManager下的PendingFileRenameOperations值删除掉，让它的重启重命名失效！（怀疑这一招病毒会很快令其失效，就和前面一样，隔段时间重复检查和删除这个键值。）然后再把机子断电，或异常重启（总之不能正常关机！）。啥，你不清楚怎么搞？直接拔电源线就是了。因为该病毒新变种在关机的时候往启动项写病毒，开机的时候自杀，导致一般杀毒软件查不到，

4、但非法关机可以使它关机的时候生不成病毒。重启后，先别打开盘符，(用好资源管理器，别习惯双击打开盘符)在CMD命令行下将各个分区下的autorun.inf和pagefile.pif文件删除。然后使用专杀或杀毒软件全盘扫描病毒，因为该病毒可以感染除system32目录外的其它EXE程序，导致该病毒很难用手工方法彻底删除，建议升级毒霸后进行全盘杀毒。毒霸磁碟机专杀工具下载链接：http://kad.www.duba.net/kas/DubaTool_AVKiller.com该工具可同时清除磁碟机、机器狗和AV终结者。如果各位发现自己的电脑符合磁碟机病毒感染的特征,使用金山毒霸

5、磁碟机专杀也没能解决这个问题，请及时在毒霸论坛(bbs.duba.net)发贴求助，以便我们及时跟进，发贴请在主题中加注ldquo;磁碟机rdquo;字样。多谢合作!