您现在的位置: 第一万维网 >> 网站运营 >> 网络安全 >> 正文

AV杀手木马Trojan.Win32.KillAV.acn(oqrxybz.sys)

作者: admin 文章来源:本站原创 更新时间:2008/8/15 9:48:45

该样本是使用“Delphi”编写的“木马程序”,由微点主动防御软件自动捕获,采用“Upack”加壳方式试图躲避特征码扫描,加壳后长度为“6,616 字节”,图标为,使用“exe”扩展名,通过“网页木马”、“文件捆绑”等方式植入用户计算机,动作后将造成系统中多数安全软件及系统工具无法启动,后下载其他木马程序。

  病毒分析

  该样本程序被执行后,在%SystemRoot%system32drivers目录下释放文件“oqrxybz.sys”,写注册表将文件“oqrxybz.sys”注册成名为“oqrxybz”的服务,使用相关API函数启动被注册的服务;驱动加载后创建设备“RESSDTDOS”,访问设备恢复SSDT使多数安全软件监控失效。

  Quote:

  项:HKLMSYSTEMCurrentControlSetServicesoqrxybz

  键值:DisplayName

  指向数据:oqrxybz

  项:HKLMSYSTEMCurrentControlSetServicesoqrxybz

  键值:ImagePath

  指向文件:C:windowssystem32driversoqrxybz.sys

  项:HKLMSYSTEMCurrentControlSetServicesoqrxybz

  键值:Start

  指向数据:03

  遍历系统当前进程查找下列进程并将其结束,通过映像劫持使其下次无法启动:

  Quote:

  360rpt.exe

  360safe.exe

  autorunkiller

  avp.exe

  ccenter.exe

  Icesword.exe

  rav.exe

  nod32krn.exe

  HijackThis.exe

  Nod32.exe

  Nod32krn.exe

  Nod32kui.exe

  Ollydbg.exe

  Ollyice.exe

  Regdit.exe

  访问恶意网址“http://53g***fc.cn/”下载病毒列表dao.txt至%SystemRoot%system32目录下重命名为“bpqpyoq.ini”,根据下载列表多数病毒程序并运行。

  安全提示

  已安装使用微点主动防御软件的用户,无须任何设置,微点主动防御将自动保护您的系统免受该病毒的入侵和破坏。无论您是否已经升级到最新版本,微点主动防御都能够有效清除该病毒。如果您没有将微点主动防御软件升级到最新版,微点主动防御软件在发现该病毒后将报警提示您发现“未知木马”,请直接选择删除处理;

  如果您已经将微点主动防御软件升级到最新版本,微点将报警提示您发现"Trojan.Win32.KillAV.acn”,请直接选择删除。

  对于未使用微点主动防御软件的用户,微点反病毒专家建议:

  1、不要在不明站点下载非官方版本的软件进行安装,避免病毒通过捆绑的方式进入您的系统。

  2、尽快将您的杀毒软件特征库升级到最新版本进行查杀,并开启防火墙拦截网络异常访问,如依然有异常情况请注意及时与专业的安全软件厂商联系获取技术支持。

  3、开启windows自动更新,及时打好漏洞补丁。


 

Tags:AV杀手木马,Trojan.Win32.KillAV.acn,oqrxybz.sys
公司简介 | 公司新闻 | 联系我们 | 有问必答 | 网站地图 | 网站备案
Copyright © 2001-2021 www.01www.com Inc. All rights reserved. 中国信息港旗下网站
《中华人民共和国增值电信业务经营许可证》编号:京B2-20070158(ISP) 京ICP证050145号(ICP)
地址:河南省郑州市经三路鑫苑金融广场金座2006室
第一万维网---中国老牌优秀虚拟主机服务提供商!