对专门破坏杀毒软件的病毒AV终结者的深层次分析
我最近中了AV终结者，苦不堪言，正一筹莫展之际，来到了金山毒霸铁军的blog，看到了这篇深层次的分析文章，真是及时雨啊，问题迅速解决了。在这里谢谢金山毒霸。最近破坏杀毒软件的AV终结者闹的厉害，我把这篇好文转给大家，我为人人，人人为我^_^。
今天刚得到的新消息，中国证券网挂马了。我们从那个站抓到个新病毒。
分析报告在这里http://vi.duba.net/index.php?CODE=02&virusid=38990&action=viewgraph
有关AV终结者病毒的相关参考信息，大家可以在这个地址仔细看，
http://hi.baidu.com/litiejun/blog/item/38fc223b17282eeb14cecb62.html
算了，为了方便大家，我还是把地址文章贴出来吧，在帖子的后面 我为人人，人人为我~
AV终结者分析报告：这个病毒就是有网友提到的8位随机文件名的病毒程序。该病毒利用了IFEO重定向劫持技术，使大量的杀毒软件和安全相关工具无法运行；会破坏安全模式，使中毒用户无法在安全模式下查杀病毒；会下载大量病毒到用户计算机来盗取用户有价值的信息和某些帐号；能通过可移动存储介质传播；病毒还会关闭windows安全中心和windows防火墙，以降低系统安全性。
以下是详细分析报告，金山毒霸已经推出了病毒专杀工具，该工具同时可以帮你修复被映像劫持的注册表，在遇到其它病毒有类似现象时，也可以使用。请访问这里下载。
1.生成文件
%programfiles%\Common Files\Microsoft Shared\MSInfo\{随机8位字母+数字名字}.dat
C:\Program Files\Common Files\Microsoft Shared\MSInfo\{随机8位字母+数字名字}.dll
%windir%\{随机8位字母+数字名字}.hlp
%windir%\Help\{随机8位字母+数字名字}.chm
也有可能生成如下文件
%sys32dir%\{随机字母}.exe
替换%sys32dir%\verclsid.exe文件
2.生成以下注册表项来达到使病毒随系统启动而启动的目的
HKEY_CLASSES_ROOT\CLSID\"随机CLSID"\\InprocServer32 "病毒文件全路径"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\"随机CLSID" "病毒文件全路径"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks "生成的随机CLSID" ""
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "随机字符串" "病毒文件全路径"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc Start dword:00000004
|
