Worm.Win32.AutoRun.dbp

病毒標籤

病毒名稱： Worm.Win32.AutoRun.dbp

檔案 MD5： A1AF3D5C37035B3D0AC5969F01FD0C7A

感染系統： Windows98以上版本

開發工具： Microsoft Visual C++

加殼類型： ASPack 2.12 -> Alexey Solodovnikov

病毒描述

該病毒修改進程許可權、創建註冊表病毒服務、獲取ntdll.dll基址，動態獲取核心函式，使用核心函式ZwLoadDriver載入病毒驅動，創建病毒驅動設備名："\\.\sudami"，調用API函式打開一個網頁連結，將創建的對話框設定為最小化，調用函式向該對話框傳遞訊息，驅動檔案主要行為：5ms一次遍歷多款安全軟體進程，如發現就結束掉。

行為分析

本地行為

1、獲取KERNEL32.DLL基址，動態獲取API函式、CreateDialogParamA創建一個MoveWindow:Height = 1 Width = 1的對話框，判斷%system32%\Drivers目錄下是否存在"sudami.sys"，如存在則將其刪除並從新創建一個同名的檔案到該目錄下，並將檔案屬性設定為隱藏。

2、檔案運行後會釋放以下檔案

%system32%\Drivers\sudami.sys

3、修改進程許可權、獲取ntdll.dll基址，動態獲取核心函式，使用核心函式ZwLoadDriver載入病毒驅動，創建病毒驅動設備名："\\.\sudami"，調用API函式ShellExecuteA打開一個網頁，將創建的對話框設定為最小化，調用函式向該對話框傳遞訊息。

4、驅動檔案主要行為：5ms一次遍歷多款安全軟體進程，如發現就結束掉，被遍歷的安全軟體進程及名字有：

KvXP.kxp、KVSrvXP.exe、KVwsc.exe、KVMonXP.kxp、KAVSvcUI.exe、KAVPFW.EXE、KAV32.exe、KAVsvc.exe、AVPM.EXE、AVPCC.EXE、AVP32.EXE、AVP.EXE、RAVmonD.exe、RAVmon.exe、RAVtimer.exe、Rising.exe、Rav.exe、360Safe.exe、360tray.exe、HijackThis.exe、THGUARD.EXE、PFW.EXE 、ZONEALARM.EXE、VSHWIN32.EXE、TBSCAN.EXE、SWEEP95.EXE、SMC.EXE、NMAIN.EXE、LUALL.EXE、ICMON.EXE、APVXDWIN.EXE

5、創建註冊表病毒服務

Worm.Win32.AutoRun.dbp

基本介紹

病毒標籤

病毒描述

行為分析

清除方案

相關詞條

熱門詞條