endurer 原创
2006-06-20 第1版
(续)
这一部分说一下分析过程。
1、看瑞星的 开机自动扫描记录:
=====================
病毒名称 处理结果 发现日期 路径文件病毒来源
Trojan.PSW.Agent.adw 清除成功 2006-07-18 15:17 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-18 15:17 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 08:25 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 08:25 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 08:25 1.exe>>C:/WINDOWS/System32/1.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 11:20 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 11:20 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 15:24 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 15:24 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 19:58 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 19:58 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.DL.Direct.h 清除成功 2006-07-19 19:58 0.exe>>C:/WINDOWS/System32/0.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 19:58 1.exe>>C:/WINDOWS/System32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 22:38 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 22:38 1.exe>>C:/WINDOWS/system32/1.exe 本机
2、用瑞星手动扫描C盘,19日晚上的扫描记录如下:
=====================
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/Q54414.LOG 本机
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/Q62539.LOG 本机
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/KB684745M.LOG 本机
Trojan.PSW.JHOnline.epp 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/2.dll 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/WinExec.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/2.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:55 C:/WINDOWS/system32/0.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:55 C:/WINDOWS/system32/1.exe 本机
3、用HijackThis来分析。
运行HijackThis.exe,虽然可以在任务管理器里看到进程,但没有显示窗口!
运行procview.exe,结果相同!同时发现系统生成了一个名为创建一个名为 ViDll.Dll,大小为 25,600字节 的文件。因为procview.exe在一个单独的文件夹里,所以很容易发现。
认真一看,procview.exe的长度近20KB,正常的话,应该是10多KB,而且图标显得比较粗糙……
看来系统中了感染EXE文件的病毒!
到http://endurer.ys168.com,重新下载HijackThis、procview 和 IceSword。
覆盖掉原有的文件后,HijackThis可以正常运行了:
3.1 在HijackThis扫描的log中的发现如下可疑项目:
======================================
Logfile of HijackThis v1.99.1
Scan saved at 9:41:44, on 2006-7-20
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
C:/WINDOWS/SMSS.EXE
F2 - REG:system.ini: Shell=Explorer.exe 1
F3 - REG:win.ini: load=C:/WINDOWS/rundl132.exe
O4 - HKLM/../Run: [RavUptyes] C:/WINDOWS/System32/ravseidll.exe
O4 - HKLM/../Run: [WinSvc] C:/WINDOWS/System32/WinSvc.exe
O4 - HKLM/../Run: [TProgram] C:/WINDOWS/SMSS.EXE
O4 - HKLM/../Run: [SVCH0ST] C:/WINDOWS/System32/SVCH0ST.exe
O4 - HKLM/../RunServices: [TProgram] C:/WINDOWS/SMSS.EXE
O20 - AppInit_DLLs: KB684745M.LOG
3.2 由于Trojan.PSW.Lmir有修改EXE文件关联的情况,所以用HijackThis扫描了startuplist.txt,发现的可疑项目有:
======================================
Autorun entries from Registry:
HKLM/Software/Microsoft/Windows/CurrentVersion/Run
TProgram = C:/WINDOWS/SMSS.EXE
SVCH0ST = C:/WINDOWS/System32/SVCH0ST.exe
--------------------------------------------------
Autorun entries from Registry:
HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices
TProgram = C:/WINDOWS/SMSS.EXE
--------------------------------------------------
File association entry for .EXE:
HKEY_CLASSES_ROOT/winfiles/shell/open/command
(Default) = C:/WINDOWS/ExERoute.exe "%1" %*
--------------------------------------------------
Load/Run keys from C:/WINDOWS/WIN.INI:
load=*INI section not found*
run=*INI section not found*
Load/Run keys from Registry:
HKLM/../Windows NT/CurrentVersion/Windows: AppInit_DLLs=KB684745M.LOG
--------------------------------------------------
Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*
Windows NT checkdisk command:
BootExecute = autocheck autochk *
Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:/WINDOWS/KB684745M.LOG||C:/WINDOWS/Q36155.LOG
--------------------------------------------------
可见EXE文件被关联到 C:/WINDOWS/ExERoute.exe,并且使用了winint.ini 这个文件来实现下次启动时的操作。