多功能感染下载者niu.exe,crsss.exe的分析及解决办法_杀毒技巧_在线杀毒

杀毒技巧_多功能感染下载者niu.exe,crsss.exe的分析及解决办法

多功能感染下载者niu.exe,crsss.exe的分析及解决办法

来源：www.tturl.com 天天导航发布时间：2008-1-30 内容大小：大中小关闭本页收藏

File: niu.exe
Size: 36141 bytes
MD5: 1E3096FAE27F2E81F0AA73FFFA5171B0
SHA1: BF1639F93B2B6E6E69A32FA6ECEC8ABDB94AC7CF
CRC32: C9ACBC14

病毒运行后：
文件变化:
释放文件C:\WINDOWS\system32\crsss.exe
在每个分区下面释放
autorun.inf和niu.exe 右键菜单无变化

遍历所有分区的htm文件
在其后面插入代码
遍历所有分区删除*.gho文件
删除C:\WINDOWS\system32\verclsid.exe
注册表变化
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
下添加 [] 达到开机启动的目的
修改HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
为0x00000001
达到屏蔽隐藏文件显示的目的
在HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate下面增加
DisableWindowsUpdateAccess键并把其键值设为00000001 关闭windows自动更新功能

如果无连接网络还有如下变化
不断暴力写HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page为 www.hao123.com
并且修改HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel\HomePage 的值为00000001
使得IE主页修改按钮失效
如果连接网络则为如下变化
下载http://www.xxxxxx.cn/htm/IEURL.txt到系统文件夹
该文本内为一网址那么上面的被修改的主页则变为此文本中的网址
下载http://www.xxxxxx.cn/htm/exe.txt到系统文件夹读取里面的内容
下载木马
http://www.xxxxxx.cn/xp/WindowsXP-KB888303-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB838201-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB284303-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB398305-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB983306-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB828301-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB328207-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB138308-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB238104-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB284302-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB468603-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB878206-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB423807-x86-CHS.exe
http://www.xxxxxx.cn/xp/WindowsXP-KB138309-x86-CHS.exe

到系统文件夹分别命名为0temp.exe~13temp.exe
木马生成物下面将列出其他一些变化
0temp.exe修改系统时间为1987年10月18日
1temp.exe比较有意思 1temp.exe运行以后会自动关闭瑞星防火墙瑞星杀毒软件监控卡卡上网安全助手的ie防漏墙
等而此关闭并非结束进程而是相当于用户的手动按软件上的停止保护（如图）但再次运行该文件后相关保护又会被开启
具体原理不懂希望高手指教
木马植入完毕后生成文件如下

C:\WINDOWS\system32\10temp.DAT
C:\WINDOWS\system32\7temp.DAT
C:\WINDOWS\system32\Autorun.inf
C:\WINDOWS\system32\c.txt
C:\WINDOWS\system32\drivers\svchost.exe
C:\WINDOWS\system32\d.txt
C:\WINDOWS\system32\dhbini.dll
C:\WINDOWS\system32\dhbpri.dll
C:\WINDOWS\system32\nwizqjsj.exe
C:\WINDOWS\system32\RemoteDbg.dll
C:\WINDOWS\system32\test1.txt
C:\WINDOWS\system32\TIMHost.dll
C:\WINDOWS\system32\WinForm.dll
C:\WINDOWS\system32\ztgini.dll
C:\WINDOWS\system32\ztgpri.dll
C:\WINDOWS\TIMHost.exe
C:\WINDOWS\WinForm.exe
%temp%\tlso.exe
%temp%\zxzo0.dll
%temp%\tlso0.dll
C:\Program Files\Internet Explorer\PLUGINS\System64.Sys

sreng日志如下

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[]
[]
[]
[]
[]
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows]
[]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{754FB7D8-B8FE-4810-B363-A788CD060F1F}> []
<{22311A42-AC1B-158F-FD32-5674345F23A2}> []
<{71351752-5628-1547-FFAB-BADC13512AF7}> []
服务
[Remote Debug Service / RemoteDbg][Stopped/Auto Start]

解决方法：

首先把系统时间改回来
并且修改 C:\WINDOWS\system32\dhbpri.dll和
C:\WINDOWS\system32\ztgpri.dll文件名为其他名称

然后重启计算机进入
安全模式(开机后不断按F8键然后出来一个高级菜单选择第一项安全模式进入系统)
打开sreng
启动项目注册表删除如下项目

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
[]
[]
[]
[]
[]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
<{754FB7D8-B8FE-4810-B363-A788CD060F1F}> []
<{22311A42-AC1B-158F-FD32-5674345F23A2}> []
<{71351752-5628-1547-FFAB-BADC13512AF7}> []

双击AppInit_DLLs 把其键值改为空
“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，
选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：
Remote Debug Service / RemoteDbg

系统修复－Windows shell/IE 选中
设置主页为"about:blank"和允许Internet Explorer选项窗口和选项窗口的所有内容
然后点击下面的修复

把下面的代码拷入记事本中然后另存为1.reg文件
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"RegPath"="Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced"
"Text"="@shell32.dll,-30500"
"Type"="radio"
"CheckedValue"=dword:00000001
"ValueName"="Hidden"
"DefaultValue"=dword:00000002
"HKeyRoot"=dword:80000001
"HelpID"="shell.hlp#51105"
双击1.reg把这个注册表项导入

双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
点击菜单栏下方的文件夹按钮（搜索右边的按钮）
从左边的资源管理器进入C盘
删除如下文件C:\WINDOWS\system32\10temp.DAT
C:\WINDOWS\system32\7temp.DAT
C:\WINDOWS\system32\Autorun.inf
C:\WINDOWS\system32\c.txt
C:\WINDOWS\system32\drivers\svchost.exe
C:\WINDOWS\system32\d.txt
C:\WINDOWS\system32\dhbini.dll
C:\WINDOWS\system32\dhbpri.dll改完名称的文件
C:\WINDOWS\system32\nwizqjsj.exe
C:\WINDOWS\system32\RemoteDbg.dll
C:\WINDOWS\system32\test1.txt
C:\WINDOWS\system32\TIMHost.dll
C:\WINDOWS\system32\WinForm.dll
C:\WINDOWS\system32\ztgini.dll
C:\WINDOWS\system32\ztgpri.dll改完名称的文件
C:\WINDOWS\TIMHost.exe
C:\WINDOWS\WinForm.exe
%temp%\tlso.exe
%temp%\zxzo0.dll
%temp%\tlso0.dll
C:\Program Files\Internet Explorer\PLUGINS\System64.Sys
C:\WINDOWS\system32\crsss.exe
C:\autorun.inf
C:\niu.exe
从左边的资源管理器进入其他分区删除autorun.inf和niu.exe

上一篇：当邮件病毒入侵后的五个清除步骤
下一篇：警惕电脑成木马病毒的“海洋”

在线杀毒类别

病毒快讯	漏洞新闻
杀毒技巧	木马查杀
流氓软件	病毒知识
系统安全	网络安全
杀毒软件	专杀工具
在线杀毒