飞客蠕虫病毒的介绍与处理办法

0x1 飞客蠕虫

国外常用叫法conficker,kido, downup，downadup

常用端口：445、139

中毒症状:请求解析随机域名（DGA）、不能正常访问安全厂商的网站或服务器、下载木马。主要通过系统进程explorer.exe、services.exe、svchost.exe注入自己的病毒dll，一般为方便开机即运行该蠕虫，有其对应的开机启动服务项

利用漏洞：MS08-067漏洞

影响系统：受影响的系统包括Windows2000、Windows XP、WindowsServer 2003、Windows Vista、WindowsServer 2008

补丁号：KB958644

 

 

0x2中毒现象

无法访问安全类的站点

防止更新，主要涉及以下关键字。可以考虑从可疑进程中查找这些关键字。

病毒母体文件dll释放

%System%\[Random].dll
%Program Files%\Internet Explorer\[Random].dll
%Program Files%\Movie Maker\[Random].dll
%All Users Application Data%\[Random].dll
%Temp%\[Random].dll
%System%\[Random].tmp
%Temp%\[Random].tmp

线程注入

svchost.exe
explo