遭遇Viking/威金新变种、Trojan-PSW.Win32.WOW.do等(二)

endurer　原创

2006-06-20　第1版

(续)
这一部分说一下分析过程。

1、看瑞星的 开机自动扫描记录：
=====================
病毒名称 处理结果 发现日期 路径文件病毒来源
Trojan.PSW.Agent.adw 清除成功 2006-07-18 15:17 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-18 15:17 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 08:25 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 08:25 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 08:25 1.exe>>C:/WINDOWS/System32/1.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 11:20 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 11:20 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 15:24 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 15:24 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 19:58 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 19:58 1.exe>>C:/WINDOWS/system32/1.exe 本机
Trojan.DL.Direct.h 清除成功 2006-07-19 19:58 0.exe>>C:/WINDOWS/System32/0.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 19:58 1.exe>>C:/WINDOWS/System32/1.exe 本机
Trojan.PSW.Agent.adw 清除成功 2006-07-19 22:38 svhost32.exe>>C:/PROGRA~1/svhost32.exe 本机
Trojan.PSW.ZhengTu.cc 清除成功 2006-07-19 22:38 1.exe>>C:/WINDOWS/system32/1.exe 本机

2、用瑞星手动扫描C盘，19日晚上的扫描记录如下：
=====================
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/Q54414.LOG 本机
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/Q62539.LOG 本机
Trojan.PSW.Lmir.kgs 删除成功 2006-07-19 23:05 C:/WINDOWS/KB684745M.LOG 本机
Trojan.PSW.JHOnline.epp 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/2.dll 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/WinExec.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:56 C:/WINDOWS/system32/2.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:55 C:/WINDOWS/system32/0.exe 本机
Trojan.DL.Direct.h 删除成功 2006-07-19 22:55 C:/WINDOWS/system32/1.exe 本机

3、用HijackThis来分析。
运行HijackThis.exe，虽然可以在任务管理器里看到进程，但没有显示窗口！
运行procview.exe，结果相同！同时发现系统生成了一个名为创建一个名为 ViDll.Dll，大小为 25,600字节 的文件。因为procview.exe在一个单独的文件夹里，所以很容易发现。
认真一看，procview.exe的长度近20KB，正常的话，应该是10多KB，而且图标显得比较粗糙……

看来系统中了感染EXE文件的病毒！

到http://endurer.ys168.com，重新下载HijackThis、procview 和 IceSword。

覆盖掉原有的文件后，HijackThis可以正常运行了：

3.1 在HijackThis扫描的log中的发现如下可疑项目：
======================================

Logfile of HijackThis v1.99.1
Scan saved at 9:41:44, on 2006-7-20
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

C:/WINDOWS/SMSS.EXE

F2 - REG:system.ini: Shell=Explorer.exe 1
F3 - REG:win.ini: load=C:/WINDOWS/rundl132.exe

O4 - HKLM/../Run: [RavUptyes] C:/WINDOWS/System32/ravseidll.exe

O4 - HKLM/../Run: [WinSvc] C:/WINDOWS/System32/WinSvc.exe
O4 - HKLM/../Run: [TProgram] C:/WINDOWS/SMSS.EXE
O4 - HKLM/../Run: [SVCH0ST] C:/WINDOWS/System32/SVCH0ST.exe
O4 - HKLM/../RunServices: [TProgram] C:/WINDOWS/SMSS.EXE

O20 - AppInit_DLLs: KB684745M.LOG

3.2 由于Trojan.PSW.Lmir有修改EXE文件关联的情况，所以用HijackThis扫描了startuplist.txt，发现的可疑项目有：
======================================

Autorun entries from Registry:
HKLM/Software/Microsoft/Windows/CurrentVersion/Run

TProgram = C:/WINDOWS/SMSS.EXE
SVCH0ST = C:/WINDOWS/System32/SVCH0ST.exe

--------------------------------------------------

Autorun entries from Registry:
HKLM/Software/Microsoft/Windows/CurrentVersion/RunServices

TProgram = C:/WINDOWS/SMSS.EXE

--------------------------------------------------

File association entry for .EXE:
HKEY_CLASSES_ROOT/winfiles/shell/open/command

(Default) = C:/WINDOWS/ExERoute.exe "%1" %*

--------------------------------------------------

Load/Run keys from C:/WINDOWS/WIN.INI:

load=*INI section not found*
run=*INI section not found*

Load/Run keys from Registry:

HKLM/../Windows NT/CurrentVersion/Windows: AppInit_DLLs=KB684745M.LOG

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk *

Windows NT 'Wininit.ini':
PendingFileRenameOperations: C:/WINDOWS/KB684745M.LOG||C:/WINDOWS/Q36155.LOG

--------------------------------------------------
可见EXE文件被关联到 C:/WINDOWS/ExERoute.exe，并且使用了winint.ini 这个文件来实现下次启动时的操作。