OSO.exe

病毒分析

行為惡劣的隨身碟病毒OSO.exe分析與查殺

作者

『時代網路家族』

病毒名：Worm.Pabug.ck

大小：38,132 位元組

MD5：2391109c40ccb0f982b86af86cfbc900

加殼方式：FSG2.0

編寫語言：祝殼判籃Delphi

傳播方式：通過移動介質或網頁惡意腳本傳播

經虛擬機中運行，與脫殼後OD分析結合，其行為如下：

檔案櫃坑創建：舟充凝

%systemroot%\system32\gfosdg.exe

%systemroot%\system32\gfosdg.dll

%systemroot%\system32\severe.exe

%systemroot%\system32\drivers\mpnxyl.exe

%systemroot%\system32\drivers\conime.exe

%systemroot%\system32\hx1.bat

%systemroot%\system32\noruns.reg

X:\OSO.exe

X:\autorun.inf

X指非系統盤符

%systemroot%是環境變數，對於裝在C糟的Windows XP系統，默認路徑為C:\WINDOWS資料夾，以下以此假設進行分析。

創建進程：

%systemroot%\system32\gfosdg.exe

%systemroot%\system32\severe.exe

%systemroot%\system32\drivers\conime.exe

使用net stop命令，結束可能存在的防毒軟體服務

調用sc.exe，

config [對應服務] start=disabled

禁用這些服務

被結束和禁用的服務包括：

srservice

sharedaccess（此即系統自帶防火牆——筆者注）

KVWSC

KVSrvXP

kavsvc

RsRavMon

RsCCenter

其中，在結束瑞星服務的過程中，由於瑞星會彈出提示，病毒作了相應處理嘗凝協：

用FindWindowA函棗匙霸數，捕捉標題為"瑞星提示"的視窗

用FindWindowExA函式，找到其中“是(&Y)”的按鈕

用SendMessageA函式向系統傳送信寒驗試府息，相當於按下此按鈕

禁止或結束以下進程運行，包括但不限於：

PFW.exe

Kav.exe

KVOL.exe

KVFW.exe

adam.exe

qqav.exe

qqkav.exe

TBMon.exe

kav32.exe

kvwsc.exe

CCAPP.exe

EGHOST.exe

KRegEx.exe

kavsvc.exe

VPTray.exe

RAVMON.exe

KavPFW.exe

SHSTAT.exe

RavTask.exe

TrojDie.kxp

Iparmor.exe

MAILMON.exe

MCAGENT.exe

KAVPLUS.exe

RavMonD.exe

Rtvscan.exe

Nvsvc32.exe

KVMonXP.exe

Kvsrvxp.exe

CCenter.exe

KpopMon.exe

RfwMain.exe

KWATCHUI.exe

MCVSESCN.exe

MSKAGENT.exe

kvolself.exe

KVCenter.kxp

kavstart.exe

RAVTIMER.exe

RRfwMain.exe

FireTray.exe

UpdaterUI.exe

KVSrvXp_1.exe

RavService.exe

創建noruns.reg，並導入註冊表，之後刪除此檔案。導入內容：

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

"NoDriveTypeAutoRun"=dword:b5

改變驅動器的autorun方式（在我的虛擬機里沒有實現）

修改註冊表，創建啟動棗鍵趨項（後來在SREng日誌中可見的項目）：

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

<mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A]

<gfosdg><C:\WINDOWS\system32\severe.exe> [N/A]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

<shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A]

為預防瑞星註冊表監控提示，故伎重施：

用FindWindowA函式捕捉標題為“瑞星註冊表監控提示”的視窗

用mouse_event控制滑鼠自動選擇允許修改。

訪問註冊表

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\advanced\folder\hidden\showall]

CheckedValue鍵

破壞顯示隱藏檔案的功能（這一點在我的虛擬機中沒有實現，可能是被TINY或SSM默認阻止了）

然而，做了這么多工作除去防毒軟體之後，作者似乎覺得還不保險，他終於使出了“殺手鐧”：

在註冊表

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options]

創建以安全軟體程式名為名的子項

子項中創建子鍵

"Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe"

映像劫持如下軟體，使得這些程式在被雙擊運行時，均會轉為運行病毒檔案mpnxyl.exe

形如：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\avp.exe]

"Debugger"="C:\\WINDOWS\\system32\\drivers\\mpnxyl.exe"

autoruns的日誌中可以清楚地看到這些項目，以及遭到這種手法“蹂躪”的程式：

+ 360Safe.exe c:\windows\system32\drivers\mpnxyl.exe

+ adam.exe c:\windows\system32\drivers\mpnxyl.exe

+ avp.com c:\windows\system32\drivers\mpnxyl.exe

+ avp.exe c:\windows\system32\drivers\mpnxyl.exe

+ IceSword.exe c:\windows\system32\drivers\mpnxyl.exe

+ iparmo.exe c:\windows\system32\drivers\mpnxyl.exe

+ kabaload.exe c:\windows\system32\drivers\mpnxyl.exe

+ KRegEx.exe c:\windows\system32\drivers\mpnxyl.exe

+ KvDetect.exe c:\windows\system32\drivers\mpnxyl.exe

+ KVMonXP.kxp c:\windows\system32\drivers\mpnxyl.exe

+ KvXP.kxp c:\windows\system32\drivers\mpnxyl.exe

+ MagicSet.exe c:\windows\system32\drivers\mpnxyl.exe

+ mmsk.exe c:\windows\system32\drivers\mpnxyl.exe

+ msconfig.com c:\windows\system32\drivers\mpnxyl.exe

+ msconfig.exe c:\windows\system32\drivers\mpnxyl.exe

+ PFW.exe c:\windows\system32\drivers\mpnxyl.exe

+ PFWLiveUpdate.exe c:\windows\system32\drivers\mpnxyl.exe

+ QQDoctor.exe c:\windows\system32\drivers\mpnxyl.exe

+ Ras.exe c:\windows\system32\drivers\mpnxyl.exe

+ Rav.exe c:\windows\system32\drivers\mpnxyl.exe

+ RavMon.exe c:\windows\system32\drivers\mpnxyl.exe

+ regedit.com c:\windows\system32\drivers\mpnxyl.exe

+ regedit.exe c:\windows\system32\drivers\mpnxyl.exe

+ runiep.exe c:\windows\system32\drivers\mpnxyl.exe

+ SREng.EXE c:\windows\system32\drivers\mpnxyl.exe

+ TrojDie.kxp c:\windows\system32\drivers\mpnxyl.exe

+ WoptiClean.exe c:\windows\system32\drivers\mpnxyl.exe

刪除卡卡助手的dll檔案kakatool.dll（的確這么做了，虛擬機運行的結果和程式代碼里的內容相映證）

為了堵死中毒者的“後路”，又採取了另一種卑劣的手法

修改hosts檔案，禁止防毒軟體廠商的網站，卡卡社區“有幸”成為被禁止的其中一員：

這是後來用SREng看到的結果，在程式代碼里也有相應內容：

127.0.0.1 mmsk.cn

127.0.0.1 ikaka.com

127.0.0.1 safe.qq.com

127.0.0.1 360safe.com

127.0.0.1 www.mmsk.cn

127.0.0.1 www.ikaka.com

127.0.0.1 tool.ikaka.com

127.0.0.1 www.360safe.com

127.0.0.1 zs.kingsoft.com

127.0.0.1 forum.ikaka.com

127.0.0.1 up.rising.com.cn

127.0.0.1 scan.kingsoft.com

127.0.0.1 kvup.jiangmin.com

127.0.0.1 reg.rising.com.cn

127.0.0.1 update.rising.com.cn

127.0.0.1 update7.jiangmin.com

127.0.0.1 download.rising.com.cn

127.0.0.1 dnl-us1.kaspersky-labs.com

127.0.0.1 dnl-us2.kaspersky-labs.com

127.0.0.1 dnl-us3.kaspersky-labs.com

127.0.0.1 dnl-us4.kaspersky-labs.com

127.0.0.1 dnl-us5.kaspersky-labs.com

127.0.0.1 dnl-us6.kaspersky-labs.com

127.0.0.1 dnl-us7.kaspersky-labs.com

127.0.0.1 dnl-us8.kaspersky-labs.com

127.0.0.1 dnl-us9.kaspersky-labs.com

127.0.0.1 dnl-us10.kaspersky-labs.com

127.0.0.1 dnl-eu1.kaspersky-labs.com

127.0.0.1 dnl-eu2.kaspersky-labs.com

127.0.0.1 dnl-eu3.kaspersky-labs.com

127.0.0.1 dnl-eu4.kaspersky-labs.com

127.0.0.1 dnl-eu5.kaspersky-labs.com

127.0.0.1 dnl-eu6.kaspersky-labs.com

127.0.0.1 dnl-eu7.kaspersky-labs.com

127.0.0.1 dnl-eu8.kaspersky-labs.com

127.0.0.1 dnl-eu9.kaspersky-labs.com

127.0.0.1 dnl-eu10.kaspersky-labs.com

另外：

hx1.bat內容：

@echo off

set date=2004-1-22

ping ** localhost > nul

date %date%

del %0

改日期？不過在虛擬機里沒有實現

autorun.inf的內容：

[AutoRun]

open=OSO.exe

shellexecute=OSO.exe

shell\Auto\command=OSO.exe

如果你要從右鍵選單來判別，很不幸，右鍵選單完全看不出異常，無論你是雙擊還是右鍵，同樣會激活病毒！

TINY還記錄到，病毒關閉系統還原服務後再打開。這恐怕會導致丟失還原點的結果。

至此這個十分惡劣的病毒的行為分析告一段落，下面介紹清除方法（上面內容看得頭暈的會員們，直接看清除方法即可）

清除方法歸結為一句話：“夾縫中求生”

IceSword.exe、SREng.exe均被禁，但只需將檔案改名，照樣可以運行

autoruns.exe則不在被禁的行列

其他的被禁程式，一步步解禁

具體過程：

結束進程：

%systemroot%\system32\gfosdg.exe

%systemroot%\system32\severe.exe

%systemroot%\system32\drivers\conime.exe

沒有發現此病毒禁用任務管理器。也可以用其他工具如procexp等

用autoruns刪除以下項目（建議用autoruns，一是沒被禁，二是一目了然，注意先選Options-Hide Microsoft Entries）：

+ 360Safe.exe c:\windows\system32\drivers\mpnxyl.exe

+ adam.exe c:\windows\system32\drivers\mpnxyl.exe

+ avp.com c:\windows\system32\drivers\mpnxyl.exe

+ avp.exe c:\windows\system32\drivers\mpnxyl.exe

+ IceSword.exe c:\windows\system32\drivers\mpnxyl.exe

+ iparmo.exe c:\windows\system32\drivers\mpnxyl.exe

+ kabaload.exe c:\windows\system32\drivers\mpnxyl.exe

+ KRegEx.exe c:\windows\system32\drivers\mpnxyl.exe

+ KvDetect.exe c:\windows\system32\drivers\mpnxyl.exe

+ KVMonXP.kxp c:\windows\system32\drivers\mpnxyl.exe

+ KvXP.kxp c:\windows\system32\drivers\mpnxyl.exe

+ MagicSet.exe c:\windows\system32\drivers\mpnxyl.exe

+ mmsk.exe c:\windows\system32\drivers\mpnxyl.exe

+ msconfig.com c:\windows\system32\drivers\mpnxyl.exe

+ msconfig.exe c:\windows\system32\drivers\mpnxyl.exe

+ PFW.exe c:\windows\system32\drivers\mpnxyl.exe

+ PFWLiveUpdate.exe c:\windows\system32\drivers\mpnxyl.exe

+ QQDoctor.exe c:\windows\system32\drivers\mpnxyl.exe

+ Ras.exe c:\windows\system32\drivers\mpnxyl.exe

+ Rav.exe c:\windows\system32\drivers\mpnxyl.exe

+ RavMon.exe c:\windows\system32\drivers\mpnxyl.exe

+ regedit.com c:\windows\system32\drivers\mpnxyl.exe

+ regedit.exe c:\windows\system32\drivers\mpnxyl.exe

+ runiep.exe c:\windows\system32\drivers\mpnxyl.exe

+ SREng.EXE c:\windows\system32\drivers\mpnxyl.exe

+ TrojDie.kxp c:\windows\system32\drivers\mpnxyl.exe

+ WoptiClean.exe c:\windows\system32\drivers\mpnxyl.exe

這樣包括IceSword、SREng、註冊表編輯器和系統配置實用程式在內的部分程式不再被禁止

刪除或修改啟動項：

以用SREng為例

在“啟動項目”-“註冊表”中刪除：

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]

<mpnxyl><C:\WINDOWS\system32\gfosdg.exe> [N/A]

<gfosdg><C:\WINDOWS\system32\severe.exe> [N/A]

雙擊以下項目，把“值”中Explorer.exe後面的內容刪除

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]

<shell><Explorer.exe C:\WINDOWS\system32\drivers\conime.exe> [N/A]

刪除檔案：

由於非系統盤即便右鍵打開也會有危險，應該採用其他方法，推薦用IceSword或WINRAR來做

刪除：

%systemroot%\system32\gfosdg.exe

%systemroot%\system32\gfosdg.dll

%systemroot%\system32\severe.exe

%systemroot%\system32\drivers\mpnxyl.exe

%systemroot%\system32\drivers\conime.exe

%systemroot%\system32\hx1.bat

%systemroot%\system32\noruns.reg

X:\OSO.exe

X:\autorun.inf

系統修復與清理：

在註冊表展開

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]

建議將原CheckedValue鍵刪除，再新建正常的鍵值：

"CheckedValue"=dword:00000001

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]

NoDriveTypeAutoRun鍵的值，是否要改，要改為什麼，視乎各人所需，一般默認為91（十六進制的）

此鍵的含義，請搜尋網上資料，在此不再贅述

HOSTS檔案的清理

可以用記事本打開%systemroot%\system32\drivers\etc\hosts，清除被病毒加入的內容

也可以用SREng在“系統修復”-“HOSTS檔案”中點“重置”，然後點“保存”

最後修復一下服務被破壞的防毒軟體。

小結：

從拿到樣本到方法寫完，歷時整整五小時。之所以要說得如此詳細，是因為這個病毒相當的典型，尤其是它對付安全軟體的幾種方法。右鍵選單沒變化，也是比較“隱蔽”而且給清除帶來麻煩的一個特徵。對付這個病毒，也要在“知己知彼”的基礎上，靈活運用方法和工具。提醒一下，這是個超級麻煩的病毒，通過隨身碟傳播的，大家最好現在就看看隨身碟有沒有被“毒”，小心雙擊硬碟盤符會激活病毒。

OSO.exe

基本介紹

病毒分析

作者

相關詞條

熱門詞條