关于WIN32.EXE变态木马下载器的解决办法

最新推荐文章于 2021-10-03 21:58:19 发布
最新推荐文章于 2021-10-03 21:58:19 发布
阅读量316 收藏 1
点赞数
原文链接：http://www.cnblogs.com/baocheng/p/4015779.html
版权

一、WIN32.EXE的来源：http://fdghewrtewrtyrew.biz/adv/130/win32.exe 
二、运行后的表现：此WIN32.EXE通过80和8080端口访问若干个IP，若防火墙不能监测到或令防火墙允许该访问，WIN32.EXE会自动下载木马Kernels8.exe到system32目录下；Kernels8.exe自网络下载1.dlb、2.dlb.....等一堆木马到当前用户文件夹中，并自动运行。下载的木马加载运行后，又从网络上下载其它木马/蠕虫。 

木马/蠕虫完全下载并植入系统后，SREng日志可见： 

启动项目 
注册表 
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 
<Windows update loader><C:\Windows\xpupdate.exe> [N/A] 
<UpdateService><C:\windows\system32\wservice.exe> [N/A] 
<taskdir><C:\windows\system32\taskdir.exe> [N/A] 
<_mzu_stonedrv3><C:\windows\system32\_mzu_stonedrv3.exe> [N/A] 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run] 
<System><C:\windows\system32\testtestt.exe> [N/A] 
<UpdateService><C:\windows\system32\wservice.exe> [N/A] 
<spoolsvv><C:\windows\system32\spoolsvv.exe> [N/A] 
<adir><C:\windows\system32\adirss.exe> [N/A] 
<_mzu_stonedrv3><C:\windows\system32\_mzu_stonedrv3.exe> [N/A] 
<30><C:\windows\system32\30.tmp> [N/A] 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices] 
<SystemTools><C:\windows\system32\testtestt.exe> [N/A] 
<_mzu_stonedrv3><C:\windows\system32\_mzu_stonedrv3.exe> [N/A] 
<30><C:\windows\system32\30.tmp> [N/A] 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 
<sqPIftjYG><C:\windows\system32\rflbg.dll> [N/A] 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\rpcc] 
<WinlogonNotify: rpcc><C:\windows\system32\rpcc.dll> [N/A] 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\winsys2freg] 
<WinlogonNotify: winsys2freg><C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll> [N/A] 
================================== 
正在运行的进程 
[PID: 584][\??\C:\windows\system32\winlogon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] 
[C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll] [N/A, N/A]  
[PID: 1584][C:\windows\Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)] 
[C:\windows\system32\rflbg.dll] [N/A, N/A] 
================================== 
HOSTS 文件 
127.0.0.1 avp.com 
127.0.0.1 ca.com 
127.0.0.1 f-secure.com 
127.0.0.1 housecall.trendmicro.com 
127.0.0.1 kaspersky.com 
127.0.0.1 mcafee.com 
127.0.0.1 my-etrust.com 
127.0.0.1 nai.com 
127.0.0.1 networkassociates.com 
127.0.0.1 secure.nai.com 
127.0.0.1 securityresponse.symantec.com 
127.0.0.1 sophos.com 
127.0.0.1 symantec.com 
127.0.0.1 trendmicro.com 
127.0.0.1 us.mcafee.com 
127.0.0.1 v4.windowsupdate.microsoft.com 
127.0.0.1 v5.windowsupdate.microsoft.com 
127.0.0.1 v5windowsupdate.microsoft.nsatc.net 
127.0.0.1 viruslist.com 
127.0.0.1 windowsupdate.com 
127.0.0.1 windowsupdate.microsoft.com 
127.0.0.1 www.avp.com 
127.0.0.1 www.bitdefender.com 
127.0.0.1 www.ca.com 
127.0.0.1 www.f-secure.com 
127.0.0.1 www.kaspersky.com 
127.0.0.1 www.mcafee.com 
127.0.0.1 www.my-etrust.com 
127.0.0.1 www.nai.com 
127.0.0.1 www.networkassociates.com 
127.0.0.1 www.pandasoftware.com 
127.0.0.1 www.ravantivirus.com 
127.0.0.1 www.sophos.com 
127.0.0.1 www.symantec.com 
127.0.0.1 www.trendmicro.com 
127.0.0.1 www.viruslist.com 
127.0.0.1 www.windowsupdate.com 
127.0.0.1 www3.ca.com 
127.0.0.1 downloads1.kaspersky-labs.com 
127.0.0.1 downloads2.kaspersky-labs.com 
127.0.0.1 downloads3.kaspersky-labs.com 
127.0.0.1 downloads4.kaspersky-labs.com 
127.0.0.1 downloads-us1.kaspersky-labs.com 
127.0.0.1 downloads-eu1.kaspersky-labs.com 
127.0.0.1 kaspersky-labs.com 
127.0.0.1 mast.mcafee.com 
127.0.0.1 dispatch.mcafee.com 
127.0.0.1 update.symantec.com 
127.0.0.1 liveupdate.symantec.com 
127.0.0.1 customer.symantec.com 
127.0.0.1 rads.mcafee.com 
127.0.0.1 liveupdate.symantecliveupdate.com 
127.0.0.1 download.mcafee.com 
127.0.0.1 updates.symantec.com 

================================== 

HijackThis v1.99.1日志可见： 

O4 - HKLM\..\Run: [System] C:\windows\system32\testtestt.exe 
O4 - HKLM\..\Run: [UpdateService] C:\windows\system32\wservice.exe 
O4 - HKLM\..\Run: [spoolsvv] C:\windows\system32\spoolsvv.exe 
O4 - HKLM\..\Run: [adir] C:\windows\system32\adirss.exe 
O4 - HKLM\..\Run: [_mzu_stonedrv3] C:\windows\system32\_mzu_stonedrv3.exe 
O4 - HKLM\..\Run: [30] C:\windows\system32\30.tmp 
O4 - HKLM\..\RunServices: [SystemTools] C:\windows\system32\testtestt.exe 
O4 - HKLM\..\RunServices: [_mzu_stonedrv3] C:\windows\system32\_mzu_stonedrv3.exe 
O4 - HKLM\..\RunServices: [30] C:\windows\system32\30.tmp 
O4 - HKCU\..\Run: [Windows update loader] C:\Windows\xpupdate.exe 
O4 - HKCU\..\Run: [UpdateService] C:\windows\system32\wservice.exe 
O4 - HKCU\..\Run: [taskdir] C:\windows\system32\taskdir.exe 
O4 - HKCU\..\Run: [_mzu_stonedrv3] C:\windows\system32\_mzu_stonedrv3.exe 
O4 - HKCU\..\Run: [WinMedia] C:\windows\loader622535.exe 
O4 - HKCU\..\Run: [Winstx] C:\windows\loader628714.exe 

O20 - Winlogon Notify: rpcc - C:\windows\system32\rpcc.dll 
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll 
O21 - SSODL: sqPIftjYG - {F4233280-5E89-982A-A244-6D00C3A79C12} - C:\windows\system32\rflbg.dll 

其中，C:\Documents and Settings\All Users\Documents\Settings\winsys2f.dll插入winlogon.exe进程。这个.dll处理起来较难。原因在于： 
1、这个dll位于隐藏文件夹中，须用IceSword或WINRAR等工具才能看到。 
2、因为它插入了winlogon.exe进程，这个dll不能直接删除。 
3、不知这堆木马/蠕虫中的哪几个开启了IE进程若干（并无IE窗口打开）。WINDOWS的“任务管理器”被禁；用其它工具，表面上虽可进行结束IE进程的操作，但无论用什么工具结束IE进程后，病毒又试图通过winlogon.exe启动IE进程（SSM可监控到此过程）；此时，如果用较低版本的SSM禁止winlogon.exe启动IE进程，则系统崩溃，重启。用最新版本的SSM 2.2.0.595可以禁止winlogon.exe启动IE进程而无副作用。 

这堆病毒的处理难点还有： 
1、病毒感染系统时，已经在系统相关目录（有.exe文件的目录）以及系统分区以外的其它分区目录（有.exe文件的目录）下释放了大量.t文件。以后，凡运行相关的.exe时，须先执行这个.t文件；此过程可被SSM监控到，也可被SSM禁止。然而，若用SSM禁止这个.t运行，则你要运行的那个.exe也同样被SSM禁止了。中招后用杀毒软件杀毒就是一个例子（卡巴斯基最新病毒库只能检出其中部分病毒）。一旦允许卡巴斯基目录下的.t运行，kav.exe即被感染（MD5值改变）。收拾干净系统后，我只好卸载卡巴斯基，重新安装。我的Tiny防火墙也是同样下场。为了看全这“西洋景”，我关闭了Tiny。染毒/系统重启后，Tiny自动加载时amon.exe被感染。 
2、如果没有完全禁止所有的病毒程序运行，就在普通WINDOWS模式下删除木马/蠕虫文件，删除操作时会在同一位置生成数目不等的、文件名后缀为.t的文件，文件名为随机排列的8个小写英文字母。 

三、我的处理办法： 
1、用最新版SSM2.2结束上述病毒进程，并将其归入blocked组。将SSM设置为“自动运行”。 
2、重启系统。 
3、重启系统后，SSM还报病毒程序试图加载（木马通过SSM安装文件夹中的.t实现启动加载），可用SSM禁止它，并归入blocked组。 
4、删除病毒的加载项（见前面的SREng以及HijackThis日志）。 
5、显示隐藏文件。删除病毒文件（图1－图6）。要删除的病毒文件太多，做为例子，图中显示的只是这堆病毒中的主要文件以及删除病毒文件时生成的部分.t文件（如果将删除到回收站的病毒文件全部显示出来，则需要18张图）。 
染毒后生成的.t文件的多寡目及分布范围取决于（1）系统启动时加载运行的程序数目；（2）染毒后未处理干净前在WINDOWS下操作步骤的多寡；（3）系统分区以外的其它分区各目录下的文件夹中是否包含.exe文件（文件夹中若不包含.exe文件，则无病毒.t文件生成）。 
6、修复HOSTS文件。 
7、卸载、重新安装被感染的应用程序（MD5值改变的那些）。 

图1

按此在新窗口打开图片

按此在新窗口打开图片

按此在新窗口打开图片

按此在新窗口打开图片

按此在新窗口打开图片

转载于:https://www.cnblogs.com/baocheng/p/4015779.html

weixin_30745553
关注
kali-TheFatRat木马生成工具安装及简单使用
qq_35258210的博客
02-10 1万+
kali终端下载 命令：git clone https://github.com/Screetsec/TheFatRat.git 推荐使用浏览器github上下载，比命令下载要快 浏览器下载：https://github.com/Screetsec/TheFatRat.git 下载完后将压缩包放到kali系统里 使用终端解压文件 命令：unzip 接下来要使用到的是这三个工具，我们想要使用先给它们添加可执行权限 命令：chmod +x setup.sh powerfull.s
下载木马到目标机器
08-04 480
本文主要讲述如何将各种木马下载到目标机器，然后进行执行，以便进行下一步的执行。 寻找目录 下载木马到目标主机，首先对应文件夹要有写权限吧，那你想执行得有执行权限吧，所以 icacls directory /t：检查目录地下子目录以及档案的权限 具体可以参考https://dotblogs.com.tw/ghoseliang/2013/03/04/95113 vbs下载木马 VBS是基于Visual Basic的脚本语言。VBS的全称是：Microsoft Visual Basic Script E.
电脑每天自动关机，报错0x500ff
weixin_33948416的博客
06-17 1万+
进程 C:\Windows\system32\winlogon.exe (ZUQQXCZRETU) 为用户 NT AUTHORITY\SYSTEM 开始计算机 ZUQQXCZRETU 的 关闭电源，原因如下: 没有找到这个原因的标题原因代码: 0x500ff关机类型: 关闭电源 网上找了篇文章。。。http://www.xker.com/page/e2015/06/197554.html ...
windows10 C:\windows\system32\winlogon.exe自动关机
weixin_41496173的博客
10-03 7795
windows10不知道怎么如此无法无天，可以在电脑睡眠时自动关机，查看事件查看器后，发现关机原因如下： 进程 C:\windows\system32\winlogon.exe (DESKTOP-3VJMN4J) 由于以下原因已代表用户 启动计算机 DESKTOP-3VJMN4J 的 关闭电源: 没有找到这个原因的标题 原因代码: 0x500ff 关机类型: 关闭电源 注释: 解决方法： 搜索“本地安全策略”，打开后按照以下截图设置： 即，将“关机：允许系统未登录的情况下关闭”设置为“已禁用”。 .
木马与病毒
03-26
今时今日，一直都有不少的人以为木马和病毒没什么区别，只要安装了杀毒软件，那么就万事无忧了。其实，木马并不等同于病毒，杀毒软件未必就能将隐藏的木马抓出来。下面，我们先来了解下木马与病毒的定义。
Virus.Win32.Ramnit.X专杀工具
07-09
该病毒家族包括多种变种，如 Virus.Win32.Ramnit.X、Virus.Win32.Ramnit.a 和 Virus.Win32.Ramnit.b，这些变种可能具有不同的行为特征和感染方式，但都对用户的数据安全构成严重威胁。 Ramnit 病毒主要通过网络进行...
Win32.Virux.ce病毒专杀工具
09-18
Win32.Virux.ce病毒可感染exe文件，并且可以自我复制。系统被Win32.Virux.ce病毒感染后，.Net平台下的程序无法打开，VS(C#)无法使用。该专杀工具专门清理此类病毒，最好在安全模式下扫描全盘进行查杀。
Wireshark-win64-3.2.2.exe
03-06
Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料
iexplore.exe应用程序错误解决方法.docx
09-26
iexplore.exe 应用程序错误解决方法 iexplore.exe 是 Internet Explorer 的一个核心组件，负责处理浏览器的主要功能。然而，当 iexplore.exe 遇到问题时，可能会出现应用程序错误的提示，导致浏览器无法正常工作。...
DesktopLayer专杀 win32.ramnit.la.30720
03-29
标题“DesktopLayer专杀 win32.ramnit.la.30720”和描述中的关键词揭示了本文将深入探讨一种针对特定恶意软件的解决方案。win32.ramnit.la.30720是Windows操作系统上的一个恶意程序，而"专杀"则表明存在一种专门设计...
冰河木马使用（纯属学习）
热门推荐
Prodigal
11-26 4万+
冰河木马准备工作第一步第二步 冰河木马以及灰鸽子木马都可以实现远程控制。 一下举例冰河木马软件使用 准备工作 要向看到现象 必须用虚拟机，因为外面系统，我的是win10,即使关闭防火墙，关闭360，也会被自动删除冰河木马，因为这种木马很老，已经被列入检测的范围内，所以一般都会被干掉。 1、虚拟机中安装，两个win7 32位系统，或者一个32位一个64位，32位梓潼作为攻击目标靶机，另一个作为攻击者...
一个下载木马的网站
Purpleendurer@CSDN
08-21 2628
endurer　原创2006-08-21　第1版网站首页插入如下代码：/------------＜iframe src="hxxp://www.ac***66.cn/8***8/index.htm" width="0" height="0" frameborder="0"＞＜/iframe＞------------/hxxp://www.ac***66.cn/8***8/index.h
下载木马（QQ尾巴生成器）
@涂涂博客
03-25 3466
链接：https://pan.baidu.com/s/1qs7o9wLKyRyfacTcK27acA 提取码：amcu
记一次Emotet木马下载器的分析
jxz_dz的博客
03-29 1555
Part 1: 简要流程: 1. Sub Document_open()执行代码调用O15ho2roxnv7ybuidx.H4b0154n64u 2.1 H4b0154n64u调用 Fl5n0bbcb9wio()返回值: "winmgmts:win32_Process" 2.2 H4b0154n64u 调用 W1ux0__6p4lqepk = CreateObject(G0yh3lf7156ae) 2.3 H4b0154n64u 调用 Set Nw0s5mi0i4948 = W7iyi.
【如何删除taskmer.exe进程灰鸽子木马】
瞳孔裏旳阳光的专栏
05-30 705
taskmgr.exe是什么进程?taskmgr.exe进程，很多朋友可能都不知道taskmgr.exe是什么进程。但是谈到taskmer.exe进程(灰鸽子木马)，大家估计会有一些了解。taskmgr.exe进程文件一般在系统盘里，位置为：C:windowssystemTaskmgr.exe。下面小编就来详细了解下taskmgr.exe进程的基本信息。如何删除taskmer.exe进程灰鸽子木马
Trojan-Downloader.Win32.Agent.bbb 木马手动查杀
最新发布
06-09
1. 打开任务管理器，结束所有Trojan-Downloader.Win32.Agent.bbb木马相关进程。 2. 删除Trojan-Downloader.Win32.Agent.bbb木马相关的注册表项。在开始菜单中输入“regedit”打开注册表编辑器，找到以下路径：HKEY_...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值