极虎av终结者详细分析

《极虎av终结者详细分析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、极虎AV终结者详细分析OPEN=recycle.{645FF040-508M01B-9F08-00AA002F954E)Setup.exe2010年06月14F1星期一15:52原始样本名称：Setup.exe样本大小：243KBSHA值：E6FD82F5B0D4DB6E08F1B6D73E55C9224E14E53E获取途径：优盘F的recycle.{645FF040-5081-101B-9F08-00AA002F954E}文件夹中。安全阁鉴定结果：病毒一命名为Trojan.Win32.KillAV.Ao运行平台Windows平台。分析人：安全阁阁主一、样木的

2、主要行为：替换系统服务关联程序，加载驱动对抗杀软，破坏安金模式、感染磁盘文件、感染共享文件、利用局域网传播、利用移动设备传播、下载文件。二、此病毒的爆发方式：计算机病毒的爆发方式通常収决于该病毒的传播方式。此病毒的传播方式有三种：1、此病毒感染系统中或局域网中的EXESL件和压缩包中的EXE文件，当耒感染病毒的用八双击了受感染的EXE文件，因为被感染，所以病毒代码首先拿到控制权，将创建一个c:booter.exe文件，然后运行启动它，Z后再把控制权交还给被感染的文件。这样病毒在此用户计算机上爆发。2、此病毒将在移动设备(如：优盘)中写入病毒即Ausun.inf文

3、件，当未感染病毒的用户计算机开启了移动设备的自动播放功能，并且在其计算机上使用了带毒的移动设备，而且是通过双击操作打开的移动设备盘符，此时病毒利用Windows白动播放功能将运行在移动设备中的recycle.{645FF040-5081-101B-9F08-00AA002F954EJSetup.exe文件。这样病毒此用户计算机上爆发。3、此病毒在局域网中某台计算机上爆发后，将利用自身携带的密码字典尝试登录局域网的小其他计算机，如果登录成功则将病毒样本上传到那台计算机中C盘，命名为CONFIG.exe(c:CONFIG.exe),并且设置一个计划任务——待上传样

4、本3分钟后病离口动运行，从而爆发。三、病毒爆发后的主体行为如下:1、判断口身爆发的路径是不是移动设备，如果是则把该路径盘符打开。（这样做的冃的是:因为移动设备利用自动播放Autorun.inf功能可以达到双击盘符运行指定程序的目的，但是这样每次双击盘符就只能运行Autorun.inf指定的程序，而不能再打开移动设备的盘符了。这无疑会使用户起疑，所以病毒在运行的同吋帮助用户打开了盘符。又因为病毒的运行是悄无声息的，所以给用户的感觉是双击盘符就打开了，从而不会怀疑自己中毒了。）2、尝试打开管道\\.\pipe\96DBA249-E88E-4c47-98DC-E

5、18E6E,并且与之通信。（如果计算机上已经运行冇此病毒，则会创建这个管道，与以后运行的病毒进行通信）如果通信成功则说明计算机中已经运行了该病毒，此吋则保存已运行的计算机病毒通过管道发送过来的服务名。病毒在C盘下创建文件C:delinfo.bin,其中的内容是：4个字节的标志位（此标志位的值取决于与管道通信是否成功，成功则标志位的值是1,否则是2。该标志位用于之后病毒操作的判断），然示是病毒自身的完整路径。病毒创建这个文件的目的是为了告诉之后的病毒自己的位置，然后把自己删掉。3、循环执行解密操作，解密样本中的字符串，毎次循环解密两次：一次解密的得到的是服务名另一

6、次解密得到的是服务对应的动态链接库名。如果完全循环完毕则最终得到的解密串如下：服务名有：AppMgmt.BITS.FastUserSwitchingCompatibility.WmdtnPmSN.xmlprov.EventSystem.Ntmssvc.upnphost.SSDPSRV.Netman.Nla.Tapisrv.Browser.CiyptSvc.helpsvc.RemoteRegistry.Schedule（这些串实际上对应于注册表屮HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsNTCurrcntVcrsio

7、nSvchost路径下netsvcs类型的若干服务名称）动态链接库有：appmgmts.qmgr.shsvcs.mspmsnsv.xmlprov.es.ntmssvc.upnphost.ssdpsrv.netman.mswsock.tapisrv.browser.cryptsvc.pchsvc.regsvc.schedsvc（这些串实际上对应于以上服务所要加载的动态链接库的名字）在循环过程中，每得到一个服务名，则为先前进行管道通信吋得到的服务名进行比较，如果-•致则继续循环解密下一个，如果不一致则执行以下操作（这样判断以保证病毒不会重复运行同一个服务，而是每次运

8、行一个不同