sxs.exe

sxs.exe是一個盜取QQ帳號密碼的木馬病毒，特點是可以通過可移動磁碟即網路傳播。

基本介紹

• 中文名：sxs.exe
• 性質：木馬病毒
• 傳播途徑：可移動磁碟和網路傳播
• 危害：盜取QQ賬號和密碼
• 生成檔案：%system%\SVOHOST.exe 
• 盜號方式：鍵盤記錄、包括軟鍵盤

介紹

該病毒的主要危害是盜取QQ帳戶和密碼；該病毒還會結束大量反病毒軟體，降低系統的安全等級。

表現

1，生成檔案

%system%\SVOHOST.exe

%system%\winscok.dll

2，添加啟動項

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

"SoundMam" = "%system%\SVOHOST.exe"

3，盜取方式

鍵盤記錄，包括軟鍵盤；將盜取的號碼和密碼通過郵件傳送到指定信箱。

4，傳播方式

檢測系統是否有可移動磁碟，是則拷貝病毒到可移動磁碟根目錄。

sxs.exe

autorun.inf

5，添加內容

autorun.inf添加下列內容，達到自運行的目的。

[AutoRun]

open=sxs.exe

shellexecute=sxs.exe

6，關閉視窗名為下列的應用程式

QQKav

雅虎助手

防火牆

網鏢

防毒

病毒

木馬

惡意

QQAV

噬菌體

7，結束下列進程

sc.exe

net.exe

sc1.exe

net1.exe

PFW.exe

Kav.exe

KVOL.exe

KVFW.exe

TBMon.exe

kav32.exe

kvwsc.exe

CCAPP.exe

EGHOST.exe

KRegEx.exe

kavsvc.exe

VPTray.exe

RAVMON.exe

KavPFW.exe

SHSTAT.exe

RavTask.exe

TrojDie.kxp

Iparmor.exe

MAILMON.exe

MCAGENT.exe

KAVPLUS.exe

RavMonD.exe

Rtvscan.exe

Nvsvc32.exe

KVMonXP.exe

Kvsrvxp.exe

CCenter.exe

KpopMon.exe

RfwMain.exe

KWATCHUI.exe

MCVSESCN.exe

MSKAGENT.exe

kvolself.exe

KVCenter.kxp

kavstart.exe

RAVTIMER.exe

RRfwMain.exe

FireTray.exe

UpdaterUI.exe

KVSrvXp_1.exe

RavService.exe

8，刪啟動項

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

RavTask

KvMonXP

YLive.exe

yassistse

KAVPersonal50

NTdhcp

WinHoxt

傳播

sxs.exe病毒一般是通過隨身碟、移動硬碟及儲存工具進行傳播的。當隨身碟被插入被病毒感染的電腦後，病毒會首先查找隨身碟的根目錄里有沒有sxs.exe和autorun.inf這兩個檔案，如果沒有，病毒會自動把sxs.exe和autorun.inf複製到隨身碟的根目錄下；如果有，病毒會設定sxs.exe的屬性為唯讀且為系統檔案，以達到隱藏自身的目的，並把原有的autorun.inf刪除，重新創建一個autorun.inf檔案，並寫入數據。

查殺

手動刪除“sxs.exe病毒”方法：

在以下整個過程中不得雙擊分區盤，需要打開時用滑鼠右鍵——打開

方法一

1、 了解了病毒的傳播方式，我們發現，可以通過在每一個盤符下放一個空白的sxs.exe檔案，這樣，病毒就不會複製一個真正的sxs.exe病毒到硬碟上了。

2、免疫的方法：

新建一個文本文檔，不用寫入任何數據，重名為：sxs.exe。把這個假的sxs.exe複製到隨身碟的根目錄下去就可以了。這樣，就不會中真的sxs.exe了。

3、免疫有效期：

目前為止，還沒有發現有新的變種可以躲過此種免疫方案。

方法二

1、關閉病毒進程

Ctrl + Alt + Del 任務管理器，在進程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一個字母），有的話就將它結束掉

2、顯示出被隱藏的系統檔案

運行——regedit

HKEY_LOCAL_MACHINE\Software\Microsoft\windows\CurrentVersion\explorer\Advanced\Folder\Hidden\SHOWALL，將CheckedValue鍵值修改為1

這裡要注意，病毒會把本來有效的DWORD值CheckedValue刪除掉，新建了一個無效的字元串值CheckedValue，並且把鍵值改為0！我們將這個改為1是毫無作用的。（有部分病毒變種會直接把這個CheckedValue給刪掉，只需和下面一樣，自己再重新建一個就可以了）

方法：刪除此CheckedValue鍵值，單擊右鍵 新建——Dword值——命名為CheckedValue，然後修改它的鍵值為1，這樣就可以選擇“顯示所有隱藏檔案”和“顯示系統檔案”。

在資料夾——工具——資料夾選項中將系統檔案和隱藏檔案設定為顯示

3、刪除病毒

在分區盤上單擊滑鼠右鍵——打開，看到每個盤跟目錄下有 autorun.inf 和 sxs.exe 兩個檔案，將其刪除。

4、刪除病毒的自動運行項

打開註冊表 運行——regedit

HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

下找到 SoundMam 鍵值，可能有兩個，刪除其中的鍵值為 C:\\WINDOWS\system32\SVOHOST.exe 的

最後到 C:\\WINDOWS\system32\ 目錄下刪除 SVOHOST.exe 或 sxs.exe

重啟電腦後，發現防毒軟體可以打開，分區盤雙擊可以打開了。

前言：看到一個毒，動作非常簡單，但有一點卻算是有點創新精神的 字串7

=================================================================

字串5

sxs.exe樣本信息： 字串7

反病毒引擎 版本 最後更新 掃描結果

AhnLab-V3 2007.9.14.0 2007.09.14 -

AntiVir 7.6.0.10 2007.09.14 BDS/Graybird. GN.462336

Authentium 4.93.8 2007.09.15 -

Avast 4.7.1043.0 2007.09.14 Win32:Hupigon-BQO

AVG 7.5.0.485 2007.09.14 -

BitDefender 7.2 2007.09.15 -

CAT-QuickHeal 9.00 2007.09.14 -

ClamAV 0.91.2 2007.09.15 Trojan.Downloader.Adload-130

DrWeb 4.33 2007.09.14 -

eSafe 7.0.15.0 2007.09.13 -

eTrust-Vet 31.1.5136 2007.09.14 -

Ewido 4.0 2007.09.15 Backdoor.BlackHole.j

FileAdvisor 1 2007.09.15 -

Fortinet 3.11.0.0 2007.09.15 Generic.A!tr.bdr

F-Prot 4.3.2.48 2007.09.15 -

F-Secure 6.70.13030.0 2007.09.15 Trojan-Dropper.Win32.Agent.bvs

Ikarus T3.1.1.12 2007.09.15 Trojan-PWS.Win32.Lmir

Kaspersky 4.0.2.24 2007.09.15 Trojan-Dropper.Win32.Agent.bvs

McAfee 5120 2007.09.14 BackDoor-CGX

Microsoft 1.2803 2007.09.15 Backdoor:Win32/Blackhole.T

NOD32v2 2531 2007.09.15 -

Norman 5.80.02 2007.09.14 W32/Malware.APNA

Panda 9.0.0.4 2007.09.14 Suspicious file

Prevx1 V2 2007.09.15 Heuristic: Suspicious File Which Interferes With Vulnerable Files Like The HostsFile

Rising 19.40.51.00 2007.09.15 -

Sophos 4.21.0 2007.09.15 Mal/Generic-A

Sunbelt 2.2.907.0 2007.09.15 Backdoor.Win32.Blackhole.T

Symantec 10 2007.09.15 W32.SillyFDC

TheHacker 6.2.5.060 2007.09.14 -

VBA32 3.12.2.4 2007.09.15 suspected of Embedded.Backdoor.Win32.BlackHole.j

VirusBuster 4.3.26:9 2007.09.14 -

Webwasher-Gateway 6.0.1 2007.09.14 Trojan.Graybird. G N.462336

附加信息

File size: 505733 bytes

MD5: b3bc73a0649c097457099d1d8363213d

SHA1: 2d1f758d85321b8396212edd7942048fd1f03c2e

packers: BINARYRES

Prevx info: http://fileinfo.prevx.c om/fileinfo.asp?PX5=798BC273002A9C2C8493080EEBA3E6003F867310

字串9

字串6

=================================================================

字串5

檔案改動： 字串4

創建： 字串4

C:\WINDOWS\system32\sysclient.exe

C:\WINDOWS\system\services.exe

C:\WINDOWS\winstart.dlll (注意是dlll而不是dll)

字串9

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

字串5

註冊表改動：

字串7

添加：

字串2

HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden Type: REG_DWORD, Length: 4, Data: 0 字串9

HKCR\.dlll Desired Access: All Access

HKCR\.dlll\(Default) Type: REG_SZ, Length: 30, Data: dlll_Auto_File 字串2

HKCR\dlll_Auto_File Desired Access: All Access

HKCR\dlll_Auto_File\(Default) Type: REG_SZ, Length: 2, Data:

HKCR\dlll_Auto_File\shell\open\command Desired Access: All Access

HKCR\dlll_Auto_File Desired Access: Maximum Allowed

HKCR\dlll_Auto_File\shell Desired Access: Maximum Allowed

HKCR\dlll_Auto_File\shell\open Desired Access: Maximum Allowed

HKCR\dlll_Auto_File\shell\open\command Desired Access: All Access

HKCR\dlll_Auto_File\shell\open\command\(Default) Type: REG_SZ, Length: 68, Data: C:\WINDOWS\system\services.exe %1 字串3

HKCR\.dlll Desired Access: All Access

HKCR\.dlll\(Default) Type: REG_SZ, Length: 30, Data: dlll_auto_file

字串8

HKCR\dl1_auto_file\shell\open\command Desired Access: All Access

HKCR\dl1_auto_file Desired Access: Maximum Allowed

HKCR\dl1_auto_file\shell Desired Access: Maximum Allowed

HKCR\dl1_auto_file\shell\open Desired Access: Maximum Allowed

HKCR\dl1_auto_file\shell\open\command Desired Access: All Access

HKCR\dl1_auto_file\shell\open\command\(Default) Type: REG_SZ, Length: 62, Data: C:\WINDOWS\system\services.exe 字串4

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run Desired Access: All Access

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\soundman Type: REG_SZ, Length: 48, Data: C:\WINDOWS\WinStar.dlll 字串4

================================================================= 字串9

創建了新的檔案類型，把打開方式指向病毒主檔案，在run鍵值裡面直接寫入C:\WINDOWS\WinStar.dlll；

字串7

且不論這種載入方式是否高明，這個病毒是否厲害，相比於現在許許多多的使用生成器弄出來的“標準”病毒和一些用爛了的手法來說，這個東西算是有創新精神了；

字串2

當然，製作病毒始終是犯法的，取其創新精華吧。 字串7

P.S.很久沒有上傳樣本到VT檢測，今天居然發現它有中文版了，呵呵！

字串4

================================================================= 字串3

原創檔案文章，作者dikex（六翼刺蝟），轉載請註明出處；

文章地址：http://hi.baidu.c om/dikex/blog/wiki/102881097eddec276b60fb9d.html