| 5月30日，老驢給我出個(gè)難題，見面第一句話“我的機(jī)子中標(biāo)了，好象只針對(duì).exe文件或uninstall，卡巴查出是Worm.Win32.Viking.i”，通過google給他找到了病毒的介紹和解決辦法，最后索性讓他把病毒文件發(fā)過來，在vm下自己分析了一下。本來想著是個(gè)別問題，結(jié)果發(fā)現(xiàn)這兩天網(wǎng)絡(luò)關(guān)于該病毒的消息越來越多，那就把我看到的一些東西跟大家分享一下吧。 接著來分析一下Symantec定義的各變種病毒爆發(fā)后的操作： 病毒簡(jiǎn)介：該病毒是一個(gè)會(huì)從遠(yuǎn)端服務(wù)器下載文件并感染.exe文件的蠕蟲病毒，它會(huì)降低安全防護(hù)的效能并通過網(wǎng)絡(luò)共享傳播自己。 感染系統(tǒng)：Windows 2000、Windows 95、Windows 98、Windows Me、Windows NT、Windows Server 2003、Windows XP 病毒行為（有些行為可能只在某個(gè)變種體現(xiàn)）： 1、（部分變種）創(chuàng)建文件%Windir%\rundl132.exe (A copy of W32.Looked.I)，注意這里的文件名是rundl132.exe，不是rundll32.exe，%Windir%默認(rèn)為C:\Windows或者C:\Winnt； 2、創(chuàng)建木馬程序%CurrentFolder%\vDll.dll (A copy of Download.Trojan)，%CurrentFolder%表示病毒被初次執(zhí)行時(shí)的目錄，我見到的基本都在%Windir%下； 3、（部分變種）從遠(yuǎn)端服務(wù)器下載病毒程序到%Windir%\1.exe，并執(zhí)行，有些變種下載的是zt.txt、zt.exe 、wow.txt 、wow.txt、mx.txt、mx.exe系列文件； 4、拷貝自身為%Windir%\Logo1_.exe； 5、在注冊(cè)表HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW下創(chuàng)建鍵值"auto" = "1"； 6、（部分變種）在注冊(cè)表HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\WIndows創(chuàng)建鍵值"load" = "%Windir%\rundl132.exe"； 7、（部分變種）停止服務(wù)Kingsoft AntiVirus Service； 8、插入vDll.dll到IEXPLORE.EXE或EXPLORER.EXE 9、從磁盤C到Y(jié)檢索.exe文件并感染找到的文件，不會(huì)感染下列目錄中的.exe文件：
11、使用administrator和空口令嘗試打開任何對(duì)ICMP包響應(yīng)的計(jì)算機(jī)的\\ipc$和\\admin$目錄； 12、拷貝自身到成功打開的共享目錄； 13、檢索成功打開的共享目錄，尋找并感染.exe文件； 14、（部分變種）嘗試結(jié)束下列進(jìn)程：
1、專殺工具：
首先建議下在IceSword1.8，在IceSword中進(jìn)行操作。 （1）在進(jìn)程中找到并結(jié)束Logo1_.exe、rundl132.exe進(jìn)程，未找到則直接跳過； （2）找到并刪除%Windir%下的Logo1_.exe、rundl132.exe、vDll.dll文件，其中vDll.dll可能在其他目錄中，%Windir%默認(rèn)為C:\Windows或者C:\Winnt。 （3）打開注冊(cè)表，索引到HKEY_LOCAL_MACHINE\Software\Soft\DownloadWWW，刪除auto鍵值； （4）打開注冊(cè)表，索引到HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\WIndows，刪除load鍵值； （5）打開%system%\drivers\etc下hosts文件，刪除“127.0.0.1 localhost”一行后所有內(nèi)容； （6）升級(jí)病毒定義庫，在安全模式下對(duì)全盤進(jìn)行掃描。 五、補(bǔ)充說明： 根據(jù)這兩天看到的消息，該病毒可能出現(xiàn)了新的變種，捆綁了QQ尾巴病毒，因?yàn)閺睦象H那里拿到的病毒體沒有這個(gè)內(nèi)容，限于個(gè)人水平也無法徹底分析明白，轉(zhuǎn)述了“C.I.S.R.T 論壇”對(duì)各新變種的分析及解決辦法，匯總為“ViKing病毒專題”，大家可以根據(jù)自己的情況采取相應(yīng)的查殺方式。
·http://soft.yesky.com/security/42/2431542.shtml ·http://forum.ikaka.com/topic.asp?board=28&artid=8037807 ·http://safebbs.it168.com/redirect.php?tid=8032&goto=lastpost ·http://www.simkz.com/cisrt/forumdisplay.php?fid=12 ·http://coolersky.com/articles/virus/analyze/2006/0608/264.h |
聯(lián)系客服
