查看: 1863|回复: 2
收起左侧

请问KIS7能杀virus.win32.hala.a吗?

[复制链接]
neverd
发表于 2007-9-16 17:17:51 | 显示全部楼层 |阅读模式
电脑中了virus.win32.hala.a病毒,用KIS7查杀,把很多exe文件都删掉了,请问重启之后会不会继续感染该病毒呢?
有没有这种病毒的专杀工具推荐使用一下?

先谢谢了!
elric8
发表于 2007-9-16 18:29:57 | 显示全部楼层
下面的手杀办法适用于xp以上系统,ntfs分区的系统盘,对于fat32的话并不适用
以c:\windows为WINDOW_ROOT
以c:\windows\system32为SYSTEM_ROOT
由于需要使用到 安全 设置,因此要在我的电脑->工具->文件夹选项->查看->去掉“使用简单文件共享”的对钩。
对下述病毒文件做如下操作
右键选中->属性->安全->高级->去掉“从父项继承那些可以应用到子对象的权限项目,包括那些在此明确定义的项目”的对钩,在弹出的对话框中选择删除,而后确认权限项目中,没有任何人拥有访问权限。点击确定,对弹出的对话框选择“是”。
发现的病毒文件罗列如下
WINDOW_ROOT\mppds.exe
WINDOW_ROOT\wmsj.exe
SYSTEM_ROOT\dhcpri.dll
SYSTEM_ROOT\dhbini.dll
SYSTEM_ROOT\mydpri.dll
SYSTEM_ROOT\mydini.dll
SYSTEM_ROOT\xyhpri.dll
SYSTEM_ROOT\xyfini.dll
SYSTEM_ROOT\zxgpri.dll
SYSTEM_ROOT\zxgini.dll
SYSTEM_ROOT\RAVTLMON.DAT
SYSTEM_ROOT\RAVTLMON.exe
SYSTEM_ROOT\RAVWDMON.DAT
SYSTEM_ROOT\RAVWDMON.exe
SYSTEM_ROOT\RAVZTMON.DAT
SYSTEM_ROOT\RAVZTMON.exe
SYSTEM_ROOT\RemoteDbg.dll
SYSTEM_ROOT\d9dx.dll
SYSTEM_ROOT\d3d8xof.dll
C:\Program Files\Internet Explorer\PLUGINS\WinSys64.Sys
只要处理了这些文件,重启后,就可以保证病毒不能有所作为了
余下的是注册表的清理,记住,这些操作要在做完上述步骤后,重启电脑之后再进行
请在注册表中删除如下项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mppds
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVTLMON
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVWDMON
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVZTMON
HKEY_CLASSES_ROOT\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_CLASSES_ROOT\CLSID\{40117B96-998D-4D80-8F89-5E9DBD9F3460}
HKEY_CLASSES_ROOT\CLSID\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_CLASSES_ROOT\CLSID\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_CLASSES_ROOT\CLSID\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_CLASSES_ROOT\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{40117B96-998D-4D80-8F89-5E9DBD9F3460}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\DirectX
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RemoteDbg
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg
将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs的值设为空
这样清理就算告一段落了
这个病毒会感染所有的exe文件,但由于对病毒使用的dll等做了禁止访问处理,所以那些被感染的exe不会有什么作为。
对于恢复没被染毒的exe文件的话,卡巴就可以处理,其它杀毒软件应该也可以。
下面一点点分析。只跟了一小部分。
Virus.Win32.Hala.a的分析
分析是出自一个染毒的exe的跟踪结果。
先说出结论,这个病毒会释放一些dll、exe、dat文件,并插入系统进程,修改注册表,以达到对自身的保护。
同时,病毒会阻止杀毒软件(比如卡巴斯机)、visual stdio.net 2003等软件的启动。
病毒会感染硬盘上的exe文件,在原exe文件后附加24576字节的病毒数据
具体内容请见append_exe.txt
append_exe.txt
那么下面让我们进入这个病毒的执行空间内,看看其到底做了些什么
在定位多个API,比如CreateFile、WriteFile等等之后
首先向C:\windows\system32\下释放了一个d9dx.dll,20480字节(C:\windows\system32\这个路径使用API动态获取)
具体内容请见d9dx_dll.txt
d9dx_dll.txt
而后加载这个释放出的dll,并调用其某一个接口(暂定为4#)
进入4#后,
将尝试打开3个Mutex
ACPI#PNPDODO#1#Amd_DL5
__DL5XYEX__
__DL_CORE5_MUTEX__
均未找到后,向d9dx.dll相同位置写入一个d3d8xof.dll,3072个字节,并设置为只读、系统、隐藏属性
具体内容请见d3d8xof_dll.txt
d3d8xof_dll.txt
而后增加注册表项 “HKEY_CLASS_ROOT\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}\InprocServer32″
default                c:\windows\system32\d3d8xof.dll(路径可能会变化)
ThreadingModel        Apartment
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad”
DirectX                {DA1910DE-AA86-4ED0-874B-2924E38BAD99}
而后使用CreateToolhelp32Snapshot、Process32Find等API遍历系统进程,查找explorer.exe
之后使用CreateRemoteThread将d3d8xof.dll插入到explorer.exe中
后面的操作就交给d3d8xof.dll去处理了
在d3d8xof.dll的入口处,会判断[ebp+c](在我的vpc里是0006F6B4这个地方)是否为1,如果为1才做后续步骤,不然直接终止自己
不是很清楚这个ebp+c代表什么东西
我用ollydbg带的那个loaddll.exe加载后,这个地方的值就是0~~
而且后面的部分即使强行修改判断条件进入也没有任何效果,中间就直接退了,于是变通一下,重启系统,让explorer.exe加载。
发现这样的话,[ebp+c]就是1了,那么我们马上继续。
进入后续步骤的话,发现又调回了d9dx.dll,不过这次不是接口4,而是接口2
进入2#后
发现还是不了了之~~
于是郁闷了~~
继续想了一下d3d8xof.dll的加载还是有些晚的,那么由于之前手杀这个病毒得知还有一些*pri.dll在c:\windows\system32下(释放时机暂时未知)
于是尝试在explorer.exe中截获这些*pri.dll
发现第一个加载的事dhcpri.dll,不知道顺序有没有随机性
看了再说
依旧做了[ebp+c]为1的判断~~
里面用了一堆我没见过的API,什么TlsGetValue、TlsSetValue呀,等等的。
这个dll会捕获WM_KEYBOARD和WM_MOUSE
会把dll本身加入注册表
“HKEY_CLASS_ROOT\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}\InprocServer32″
default                c:\windows\system32\dhcpri.dll(路径可能会变化)
ThreadingModel        Apartment
无意中被这个病毒看上了……
在手杀之余,稍微跟了一下,作了一点小研究。
这个病毒是盗取网络游戏帐号
盗取后发送到如下位置,(未必全)
http://www.999dl.com/dahua2/post.asp
http://www.qingcheng521.cn/dongdongxiaosegui521/post.asp
http://www.200716876.com/tx/post.asp
http://www.qingcheng521.cn/dongdongwangbadan123987/post.asp
http://www.money1314520.cn/8yue8hao/post.asp
下面的手杀办法适用于xp以上系统,ntfs分区的系统盘,对于fat32的话并不适用
以c:\windows为WINDOW_ROOT
以c:\windows\system32为SYSTEM_ROOT
由于需要使用到 安全 设置,因此要在我的电脑->工具->文件夹选项->查看->去掉“使用简单文件共享”的对钩。
对下述病毒文件做如下操作
右键选中->属性->安全->高级->去掉“从父项继承那些可以应用到子对象的权限项目,包括那些在此明确定义的项目”的对钩,在弹出的对话框中选择删除,而后确认权限项目中,没有任何人拥有访问权限。点击确定,对弹出的对话框选择“是”。
发现的病毒文件罗列如下
WINDOW_ROOT\mppds.exe
WINDOW_ROOT\wmsj.exe
SYSTEM_ROOT\dhcpri.dll
SYSTEM_ROOT\dhbini.dll
SYSTEM_ROOT\mydpri.dll
SYSTEM_ROOT\mydini.dll
SYSTEM_ROOT\xyhpri.dll
SYSTEM_ROOT\xyfini.dll
SYSTEM_ROOT\zxgpri.dll
SYSTEM_ROOT\zxgini.dll
SYSTEM_ROOT\RAVTLMON.DAT
SYSTEM_ROOT\RAVTLMON.exe
SYSTEM_ROOT\RAVWDMON.DAT
SYSTEM_ROOT\RAVWDMON.exe
SYSTEM_ROOT\RAVZTMON.DAT
SYSTEM_ROOT\RAVZTMON.exe
SYSTEM_ROOT\RemoteDbg.dll
SYSTEM_ROOT\d9dx.dll
SYSTEM_ROOT\d3d8xof.dll
C:\Program Files\Internet Explorer\PLUGINS\WinSys64.Sys
只要处理了这些文件,重启后,就可以保证病毒不能有所作为了
余下的是注册表的清理,记住,这些操作要在做完上述步骤后,重启电脑之后再进行
请在注册表中删除如下项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mppds
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVTLMON
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVWDMON
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RAVZTMON
HKEY_CLASSES_ROOT\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_CLASSES_ROOT\CLSID\{40117B96-998D-4D80-8F89-5E9DBD9F3460}
HKEY_CLASSES_ROOT\CLSID\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_CLASSES_ROOT\CLSID\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_CLASSES_ROOT\CLSID\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_CLASSES_ROOT\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{40117B96-998D-4D80-8F89-5E9DBD9F3460}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{32311A42-AC1B-158F-FD32-5674345F23A3}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{4562452F-FA36-BA4F-892A-FF5FBBAC5314}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{7A65498A-7653-9801-1647-987114AB7F47}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{913AF41A-21B1-131B-1BFC-D2A90DF4A2B9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\DirectX
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\RemoteDbg
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteDbg
将HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\AppInit_DLLs的值设为空
这样清理就算告一段落了
这个病毒会感染所有的exe文件,但由于对病毒使用的dll等做了禁止访问处理,所以那些被感染的exe不会有什么作为。
对于恢复没被染毒的exe文件的话,卡巴就可以处理,其它杀毒软件应该也可以。
下面一点点分析。只跟了一小部分。
Virus.Win32.Hala.a的分析
分析是出自一个染毒的exe的跟踪结果。
先说出结论,这个病毒会释放一些dll、exe、dat文件,并插入系统进程,修改注册表,以达到对自身的保护。
同时,病毒会阻止杀毒软件(比如卡巴斯机)、visual stdio.net 2003等软件的启动。
病毒会感染硬盘上的exe文件,在原exe文件后附加24576字节的病毒数据
具体内容请见append_exe.txt
append_exe.txt
那么下面让我们进入这个病毒的执行空间内,看看其到底做了些什么
在定位多个API,比如CreateFile、WriteFile等等之后
首先向C:\windows\system32\下释放了一个d9dx.dll,20480字节(C:\windows\system32\这个路径使用API动态获取)
具体内容请见d9dx_dll.txt
d9dx_dll.txt
而后加载这个释放出的dll,并调用其某一个接口(暂定为4#)
进入4#后,
将尝试打开3个Mutex
ACPI#PNPDODO#1#Amd_DL5
__DL5XYEX__
__DL_CORE5_MUTEX__
均未找到后,向d9dx.dll相同位置写入一个d3d8xof.dll,3072个字节,并设置为只读、系统、隐藏属性
具体内容请见d3d8xof_dll.txt
d3d8xof_dll.txt
而后增加注册表项 “HKEY_CLASS_ROOT\CLSID\{DA1910DE-AA86-4ED0-874B-2924E38BAD99}\InprocServer32″
default c:\windows\system32\d3d8xof.dll(路径可能会变化)
ThreadingModel Apartment
“HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad”
DirectX {DA1910DE-AA86-4ED0-874B-2924E38BAD99}
而后使用CreateToolhelp32Snapshot、Process32Find等API遍历系统进程,查找explorer.exe
之后使用CreateRemoteThread将d3d8xof.dll插入到explorer.exe中
后面的操作就交给d3d8xof.dll去处理了
在d3d8xof.dll的入口处,会判断[ebp+c](在我的vpc里是0006F6B4这个地方)是否为1,如果为1才做后续步骤,不然直接终止自己
不是很清楚这个ebp+c代表什么东西
我用ollydbg带的那个loaddll.exe加载后,这个地方的值就是0~~
而且后面的部分即使强行修改判断条件进入也没有任何效果,中间就直接退了,于是变通一下,重启系统,让explorer.exe加载。
发现这样的话,[ebp+c]就是1了,那么我们马上继续。
进入后续步骤的话,发现又调回了d9dx.dll,不过这次不是接口4,而是接口2
进入2#后
发现还是不了了之~~
于是郁闷了~~
继续想了一下d3d8xof.dll的加载还是有些晚的,那么由于之前手杀这个病毒得知还有一些*pri.dll在c:\windows\system32下(释放时机暂时未知)
于是尝试在explorer.exe中截获这些*pri.dll
发现第一个加载的事dhcpri.dll,不知道顺序有没有随机性
看了再说
依旧做了[ebp+c]为1的判断~~
里面用了一堆我没见过的API,什么TlsGetValue、TlsSetValue呀,等等的。
这个dll会捕获WM_KEYBOARD和WM_MOUSE
会把dll本身加入注册表
“HKEY_CLASS_ROOT\CLSID\{32311A42-AC1B-158F-FD32-5674345F23A3}\InprocServer32″
default c:\windows\system32\dhcpri.dll(路径可能会变化)
ThreadingModel Apartment
余下的主要就是添加上述手杀的文件和注册表内容了。没有继续跟下去。
至于盗号的,部分由于本人不沾网游,所以没有办法实际测试
目前已知的是dhcpri.dll是盗《大话西游2》的帐号,其会寻找xy2.exe
neverd
 楼主| 发表于 2007-9-16 21:38:24 | 显示全部楼层
这么详细,谢谢了,我试一下。
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-12-24 00:50 , Processed in 0.130598 second(s), 17 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表