nnn1.tmp

nnn1.tmp是一個計算機病毒名，是使用“Visual C/C++”編寫的“蠕蟲病毒”，採用“Upack”加殼方式試圖躲避特徵碼掃描，加殼後長度為25,015位元組，使用“ exe”擴展名，通過網頁木馬、下載器下載、移動介質（如隨身碟）等方式進行傳播。 用戶中毒後，會出現計算機及網路運行緩慢，安全軟體退出等現象。

基本介紹

  • 中文名：nnn1.tmp
  • 性質：計算機病毒名
  • 類別：蠕蟲病毒
  • 編寫方式：Visual C/C++
  • 傳播途徑：網頁掛馬、檔案捆綁、下載器下載
  • 感染對象：Windows 2000/XP/2003/Vista
感染對象,傳播途徑,病毒分析,解決辦法,

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista

傳播途徑

網頁掛馬、檔案捆綁、下載器下載

病毒分析

1.病毒運行後，判斷"%SystemRoot%\system32\taskmgr.exe"是否存在，如果不存在就退出當前進程，否則檢查病毒所在目錄是否存在autorun.exe，如果存在就執行explorer.exe；設定自身為隱藏屬性，系統重啟後刪除。
2.病毒創建名為DDIAO的互斥體，防止程式二次運行；設定自己為SeDebugPrivileg許可權。
3.創建執行緒，枚舉並關閉防毒軟體視窗，調用命令行嘗試刪除RsRavMon、nod32krn和ekrn服務，並結束ekrn.exe、egui.exe、nod32krn和nod32kui.exe。
4.如果發現瑞星相關進程，釋放動態庫檔案"%SystemDriver%\shiew.dll"並設定為隱藏屬性，然後以RKTV為參數，調用rundll32載入該動態庫。
5.在shiew.dll中，釋放驅動檔案"%SystemRoot%\Fonts\pci.sys"，創建名稱為"aae"的服務，恢復SSDT，遍歷查找並結束360safe.exe、
360tray.exe、safeboxtray.exe、360safebox.exe、krnl360svc.exe、zhudongfangyu.exe、rstray.exe、360sd.exe、360rp.exe、kavstart.exe、
Kswebshield.exe、Mcshield.exe等進程，刪除安全軟體相關檔案，最後刪除驅動檔案。
6.創建執行緒，釋放動態程式庫%Temp%\nnn1.tmp並MSCON為參數載入。
7.在nnn1.tmp中，創建名為CLEAN的互斥體，創建大量安全軟體和註冊表編輯器的映像劫持，創建執行緒，查找並關閉兵刃視窗；創建執行緒連線網路，下載病毒列表到%SystemRoot%\Fonts\best.ini，根據列表下載病毒到本地運行
8.創建執行緒，遍歷查找avp.exe，如果找到卸載kavbase.kdl、webva.kdl等模組，停止服務使殺軟失效。
9.刪除動態庫檔案shiew.dll。
10.檢查"%SystemRoot%\system32\dllcache\linkinfo.dll"是否存在，不存在就拷貝"%SystemRoot%\system32\linkinfo.dll"到此資料夾，釋放驅動檔案"%SystemRoot%\Fonts\softic.sys"，創建名稱為 "softic"的服務。
11.創建執行緒，遍歷進程，如果發現360tray.exe，調用sfc_os.dll的#5函式，去掉%SystemRoot%\system32\linkinfo.dll的系統保護，並拷貝為%SystemDriver%\11.vxd，釋放病毒檔案，替換linkinfo.dll。
12.遍歷磁碟，在每個磁碟下創建AUTORUN.INF和ZS.PIF。
病毒創建檔案：
%SystemDriver%\shiew.dll
%SystemRoot%\Fonts\pci.sys
%Temp%\nnn1.tmp
%SystemRoot%\fonts\softic.sys
%SystemRoot%\Fonts\best.ini
X:\ AUTORUN.INF
X:\ ZF.PIF
X移動介質。
病毒刪除檔案：
%SystemDriver%\shiew.dll
%SystemRoot%\Fonts\pci.sys
%SystemRoot%\fonts\softic.sys
病毒替換檔案：
%SystemRootr%\system32\linkinfo.dll
病毒創建註冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟體]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pci
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\softic

解決辦法

1、手動刪除以下檔案(如遇提示無法刪除檔案，下載費爾木馬強制刪除器工具進行強制刪除)：
%Temp%\nnn1.tmp
X:\ AUTORUN.INF
X:\ ZF.PIF
X移動介質。
2、手動刪除以下註冊表鍵(開始選單－運行－輸入“regedit”進入註冊表依次找到說明選項並按提示操作)：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\[安全軟體]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pci
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\softic
3、手動修改檔案(如遇提示無法刪除檔案，下載費爾木馬強制刪除器工具進行強制刪除)：
用同版本的linkinfo.dll替換%SystemDriver%\system32\linkinfo.dll。
變數聲明：
%SystemDriver%　 系統所在分區，通常為“C:\”
%SystemRoot%　 WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings%　 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp%　臨時資料夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles%　系統程式默認安裝目錄，通常為：“C:\ProgramFiles”

熱門詞條

聯絡我們