U盘病毒sbl.exe或者叫梦中情人的分析手动解决

U盘病毒sbl.exe或者叫梦中情人的分析手动解决
 
作者:洪涛涌　时间:2007-11-5
首先是显示说有文件：有一部分是做文系统文件隐藏的。

 
　　病毒生成如下文件：
　　C:/WINDOWS/system32/1.inf
　　C:/WINDOWS/system32/chostbl.exe
　　C:/WINDOWS/system32/lovesbl.dll
　　在每个分区下面创建autorun.inf和sbl.exe,并不断检测chostbl.exe的属性是否为隐藏
以上文件都要删除
　　注册服务AnHao_VIP_CAHW 指向C:/WINDOWS/system32/chostbl.exe,达到开机启动的目的.

　　启动类型：自动
　　显示名称：A GooD DownLoad    CAHW
这个服务可以在控制面板——计算机管理——服务下找到并禁用

　　调用TerminateProcess函数关闭如下进程
　　360safe.exe
　　360tray.exe
　　runiep.exe
　　avp.exe

　　调用GetWindowsTextA函数 获得当前窗口标题，并调用PostMessageA函数试图发送WM_CLOSE,WM_DESTROY,WM_QUIT指令关闭带有如下字样的窗口

　　卡卡
　　江民
　　金山
　　任务管理器
　　木马清道夫
　　木马克星
　　超级巡警
　　NOD32核心
　　安全
　　安全卫士
　　木马杀客
　　NOD32
　　内核
　　OD
　　微点

　　调用FindWindowA函数查找如下窗口 并试图调用PostMessageA函数向其发送WM_CLOSE指令 关闭窗口
　　AVP.AlertDialog
　　AVP.Product_Notification
　　AVP.Product_Noti

　　调用cmd.exe 执行net stop sharedaccess命令 关闭Windows自带的防火墙服务

　　C:/WINDOWS/system32/lovesbl.dll插入svchost.exe进程
　　利用svchost.exe执行下载木马操作
　　下载http://218.61.18.*/hao.exe
　　http://218.61.18.*/wei.exe
　　http://218.61.18.*/haowei.exe
　　（ip地址为辽宁大连网通）
　　到C:/Documents and Settings下面 并分别命名为servciesa.exe~servciesc.exe，下载间隔200ms
　　

　　测试中http://218.61.18.*/haowei.exe（servciesc.exe）链接已失效

　　servciesa.exe为一感染下载者
　　下载http://rrr.*.cn/m1.exe~http://rrr.*.cn/m3.exe，但下载链接已失效

　　感染除以下文件夹下的exe文件
　　WINDOWS
　　WINNT
　　RECYCLE
　　System Volume Information
　　Internet Explorer
　　Outlook Express
　　NetMeeting
　　Common Files
　　Messenger
　　Windows Media Player
　　WinRAR
　　MSOCache
　　Documents and Settings
　　被感染文件被加入593字节的内容 图表不变 感染方式还得请高手来指教...

　　servciesb.exe
　　注册服务WindowsRemote
　　启动类型：自动
　　显示名称：Windows Accounts Driver
　　也是一个木马下载者 但下载链接失效

　　病毒全部动作完毕以后，sreng日志如下：
　　服务
[A GooD DownLoad    CAHW    / AnHao_VIP_CAHW][Running/Auto Start]
   
[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]
   
==================================
Autorun.inf
[C:/]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell/Auto/command=sbl.exe
shell=open
[D:/]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell/Auto/command=sbl.exe
shell=open
...
　　手动解决方法：

　

　　“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
A GooD DownLoad    CAHW    / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote

　　重启计算机

　　双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示

　　确定更改时，单击“是” 然后确定
　　点击    菜单栏下方的 文件夹按钮（搜索右边的按钮）