不用辅助工具，手杀一个局域网arp木马病毒

yyylll66

运行病毒样本svhost.exe，svhost.exe会立即消失，windows防火墙弹出是否阻止还是解除阻止？因我要测试，所以选择解除阻止，让样本充分运行。
如图1
样本运行后，在系统盘生成二个隐藏文件！分别是：
C:\WINDOWS\system\svhost.exe
如图2（注意查看文件的修改日期！）

C:\WINDOWS\system32\drivers\sysdrv32.sys
如图3（注意查看文件的修改日期！）

此svhost.exe开启445端口，分别对局域网内一个网段及一个网段进行远程连接,直至耗尽资源！
如攻击网段10.xxx.30.1~253后，会再扫描连接10.xxx.31网段，完了后继续攻击10.xxx.32网段。。。
图4
样本创建开机启动项HKLM\Run,注册表名称:WSVCHO达到开机运行C:\WINDOWS\system\svhost.exe，
如图5
同时创建驱动服务，注册表位置：HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\SYSDRV32，指向sysdrv32.sys
如图6
此时如果我们不借助任何软件，直接手动去删除C盘windows\system文件夹下的svhost.exe，是删除不了的！——显示无法删除，访问被拒绝。
如图7显示

要怎样删除呢？
我们知道，木马病毒要运行才是真正的木马病毒，否则，它们只是我们电脑硬盘里的一个病毒文件，是不会有任何破坏作用！（除非运行它！）
正因为要运行，所以木马病毒才会想尽办法，如修改注册表，达到开机即运行的目的。
晓得这个道理，那我们现在手动就好办了，首先我们打开注册表。
开始——运行：regedit，
找到注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,将WSVCHO删除
再找到HKEY_LOCAL_MACHINE\SYSTEM\CURRENTCONTROLSET\SERVICES\SYSDRV32，将SYSDRV32删除！
重启电脑，此木马病毒就不能再运行了，等于一个死文件！
我们再打开资源管理器，定位到system文件夹，找到svhost.exe，右键——删除，即删除到回收站里去了！
同样打开drivers文件夹，找到sysdrv32.sys右键——删除即可
如图8
至此，手动杀毒完毕。这样，就手动解决了这个局域网arp木马病毒了！！！

注：据说此毒会在系统文件夹下生成*.scr，但我多次运行样本，都未见1~99.scr ！
如图9

样本：

[ 本帖最后由 yyylll66 于 2009-8-13 11:52 编辑 ]

悠柚

to IObit

SONGLEI

感谢详尽的测试

Palkia

左手

我们知道，木马病毒要运行才是真正的木马病毒，否则，它们只是我们电脑硬盘里的一个病毒文件，是不会有任何破坏作用！（除非运行它！）
正因为要运行，所以木马病毒才会想尽办法，如修改注册表，达到开机即运行的目的。
===
学习了·
===
小红伞报了~
另外有几个动作，和LZ说的一样~
2009-08-13 13:00:55    修改其它进程内存      操作:允许
进程路径:E:\Data\svhost.exe
目标进程:E:\Data\svhost.exe
触发规则:应用程序规则->AD:05…全局行为监控规则->*

2009-08-13 13:00:55    创建文件      操作:阻止并结束进程
进程路径:E:\Data\svhost.exe
文件路径:C:\WINDOWS\system\svhost.exe
触发规则:所有程序规则->FD:01…系统文件读写规则Ⅰ->%SystemDrive%\*.exe

2009-08-13 13:00:55    创建文件      操作:阻止并结束进程
进程路径:E:\Data\svhost.exe
文件路径:C:\WINDOWS\system\svhost.exe
触发规则:所有程序规则->FD:01…系统文件读写规则Ⅰ->%SystemDrive%\*.exe

[ 本帖最后由 左手 于 2009-8-13 13:02 编辑 ]

尤金卡巴斯基

2009/8/14 0:07:35        已清除        病毒 Worm.Win32.AutoRun.fla        G:\Temp\Virus\svhost.rar/svhost.exe

zloyDi2008

NOD32
svhost.exe - Win32/Injector.MM