Nitol僵尸网络

1、病毒简介

Nitol木马病毒是一种具有侵略性的计算机病毒。Nitol木马病毒执行后，会自我复制到”C:/Windows/System32/”下的一个随机文件名，把它注册为服务，服务名称为”netscvre”。然后将病毒服务的信息写入注册表'HKLM/SYSTEM/CurrentControlSet/Services/' 下的键值对中，实现开机自启动。并在每个有”.exe”后缀的路径下释放一个”lpk.dll”的文件，进行DLL注入。病毒可以利用IPC建立连接，入侵用户的主机，向C&C服务器发送主机信息，通过C&C主机传来的指令进行相应的操作，创建病毒进程，在系统或者移动设备盘中释放病毒文件anturun.inf，进行病毒的种植与传播。Nitol木马病毒还会在主机上创建大量网络连接操作的僵尸线程，散布木马病毒，中毒的计算机将会接受病毒作者的远程控制，形成僵尸网络。

2、病毒危害

Nitol木马病毒运行后会使用户电脑被强制重启，病毒将会随着系统的启动而加载。该木马完全运行之后，会将用户计算机的操作系统版本、磁盘分区等信息上传到黑客指定网址，并且在后台自动收集用户的个人信息、游戏账户、网上银行等信息。

3、终端验证

1、创建文件：

C:/Windows/System32/xkzbkq.exe

文件名是随机的，固定6个字符加上”.exe”后缀。

在每一个含有”.exe”后缀文件的目录下释放”lpk.dll”

2、病毒进程

Nitol的存在形式是exe，是独立运行的进程，Nitol不会感染其它进程，只需要右键结束病毒exe对应的进程即可，Nitol的进程名字为之前创建的文件名。

3、网络行为

过Wireshark抓包工具发现，下图是感染主机抓到的DNS流量，它指向了以上两个地址：

威胁情报显示，这两个都是常见的恶意站点地址，截图如下

4、查杀处理

1、使用EDR进行查杀处理，查杀结束后重启计算机，并检查重启后是否有其他新的文件或进程生成。

2、将病毒新增的注册表信息删除，恢复注册表修改的项目，还原系统设置。

3、扫描局域网内是否有其他可疑计算机连接，关闭不必要的服务或端口，开启本地防火墙，关闭远程连接，避免再次感染。

4、在感染病毒的电脑上使用其它杀毒软件进行全盘扫描查杀，常见的杀毒软件很多，这里推荐下火绒的：http://www.huorong.cn