千足蟲病毒

工作原理

病毒運行後首先會在C糟根目錄下釋放病毒驅動NetApi000.sys，該驅動用來恢復SSDT，把防毒軟體掛的鉤子全部卸掉。然後在 System32路徑下的com資料夾中釋放病毒檔案smss.exe、netcfg.dll、netcfg.000、lsass.exe。

然後該程式退出，運行剛剛釋放的lsass.exe。

lsass.exe運行後，會在com資料夾下重新釋放剛才所釋放的檔案，同時會在system32資料夾下釋放一個新的動態庫檔案dnsq.dll，然後生成兩個隨機名的log檔案該檔案是lsass.exe和dnsq.dll的副本，然後進行以下操作：

1．從以下網址下載腳本http://www.****.****/*.htm、.....。

2．生成名為”MCI Program Com Application”的視窗。

3．程式會刪除註冊表SOFTWARE\Microsoft\Windows\CurrentVersion\Run項下的所有鍵值。

4．查找帶以下關鍵字的視窗，查找帶以下關鍵字的視窗，如果找到則向其發訊息將其退出：RsRavMon、McShield、PAVSRV…

5．啟動regsvr32.exe進程，把動態庫netcfg.dll注到該進程中。

6．遍歷磁碟，在所有磁碟中添加autorun.inf和pagefile.pif，使得用戶打開磁碟的同時運行病毒。

7．通過calcs命令啟動病毒進程得到完全控制許可權，使得其他進程無法訪問該進程。

8．感染執行檔，當找個執行檔時，把正常檔案放在自己最後一個節中，通過病毒自身所帶的種子值對正常檔案進行加密。

smss.exe用來實現進程保護，程式運行後會進行以下操作：

1．創建一個名為xgahrez的互斥體，防止進程中有多個實例運行。

2．然後創建一個名為MSICTFIME SMSS的視窗，該視窗會對三種訊息做出反應：

1．WM_QUERYENDSESSION：當收到該訊息時，程式會刪除註冊表SOFTWARE\Microsoft\Windows\CurrentVersion\Run項下的所有鍵值。

2．WM_TIMER：該程式會設定一個時鐘，每隔0.2秒查找“MCI Program Com Application”視窗，如果找不到則運行病毒程式。

3．WM_CAP_START：當收到該訊息時，向其傳送退出訊息。

3．把lsass.exe拷貝到C糟根目錄下命名為037589.log，同時把該檔案拷到啟動目錄下實現自啟動。

dnsq.dll通過掛接全局訊息鉤子，把自己注到所有進程中，該動態庫主要用來HOOK API和重寫註冊表。動態庫被載入後會進行以下操作：

1．判斷自己所在進程是否是lsass.exe、smss.exe、alg.exe，如果是則退出。

2． HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle這幾個API使得防毒軟體無法查殺病毒進程。