autorun.inf和sbl.exe之U盘病毒的清除方法

病毒生成如下文件:

Code:
  C:\WINDOWS\system32\1.inf
  C:\WINDOWS\system32\chostbl.exe
  C:\WINDOWS\system32\lovesbl.dll
  在每个分区下面创建autorun.inf和sbl.exe,并不断检测chostbl.exe的属性是否为隐藏
  注册服务AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe,达到开机启动的目的.

  启动类型:自动
  显示名称:A GooD DownLoad    CAHW

  调用TerminateProcess函数关闭如下进程

Code:
  360safe.exe
  360tray.exe
  runiep.exe
  avp.exe


  调用GetWindowsTextA函数 获得当前窗口标题,并调用PostMessageA函数试图发送WM_CLOSE,WM_DESTROY,WM_QUIT指令关闭带有如下字样的窗口


Quote:
  卡卡
  江民
  金山
  任务管理器
  木马清道夫
  木马克星
  超级巡警
  NOD32核心
  安全
  安全卫士
  木马杀客
  NOD32
  内核
  OD
  微点

  调用FindWindowA函数查找如下窗口 并试图调用PostMessageA函数向其发送WM_CLOSE指令 关闭窗口

Quote:
  AVP.AlertDialog
  AVP.Product_Notification
  AVP.Product_Noti


  调用cmd.exe 执行net stop sharedaccess命令 关闭Windows自带的防火墙服务

  C:\WINDOWS\system32\lovesbl.dll插入svchost.exe进程 
  利用svchost.exe执行下载木马操作
  
Code:
下载http://218.61.18.*/hao.exe
  http://218.61.18.*/wei.exe
  http://218.61.18.*/haowei.exe

  (ip地址为辽宁大连网通)

  到C:\Documents and Settings下面 并分别命名为servciesa.exe~servciesc.exe,下载间隔200ms
  

  测试中http://218.61.18.*/haowei.exe(servciesc.exe)链接已失效

  servciesa.exe为一感染下载者
  下载http://rrr.*.cn/m1.exe~http://rrr.*.cn/m3.exe,但下载链接已失效

  感染除以下文件夹下的exe文件
  
Quote:
WINDOWS
  WINNT
  RECYCLE
  System Volume Information
  Internet Explorer
  Outlook Express
  NetMeeting
  Common Files
  Messenger
  Windows Media Player
  WinRAR
  MSOCache
  Documents and Settings

  被感染文件被加入593字节的内容 图表不变 感染方式还得请高手来指教...

  servciesb.exe
  注册服务WindowsRemote 
  启动类型:自动
  显示名称:Windows Accounts Driver
  也是一个木马下载者 但下载链接失效

  病毒全部动作完毕以后,sreng日志如下:
  服务

Code:
[A GooD DownLoad    CAHW    / AnHao_VIP_CAHW][Running/Auto Start]

[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]

==================================
Autorun.inf
[C:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
[D:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
...
  


手动解决方法:

  下载sreng 打开解压后运行srengps.exe


  “启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”,
选中以下项目,点“删除服务”,再点“设置”,在弹出的框中点“否”:

Code:
A GooD DownLoad    CAHW    / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote


  重启计算机

  双击我的电脑,工具,文件夹选项,查看,单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件(推荐)"前面的钩。在提示

  确定更改时,单击“是” 然后确定
  点击    菜单栏下方的 文件夹按钮(搜索右边的按钮)

若文章对您有帮助,帮忙点个赞!

0
2
发布时间 2007-09-28 21:21:30
0 条回复(回复会通过微信通知作者)
点击加载更多评论
登录 后再进行评论
(微信扫码即可登录,无需注册)