中了 msn photo 怎么杀呢？

leaf71

求助 注册表里找不到 photo ablum
windows文件夹 system文件夹 也没有photo.zip
怎么能杀掉呢

雨泽

该病毒会在被感染计算机系统的后台建立socket连接，利用TCP和UDP协议同时进行网络数据通讯(群发垃圾电子邮件、接受骇客服务器控制指令并进行对其他服务器进行攻击性的操作、下载其它恶意程序并调用运行、自动升级等)。但该病毒变种不会利用MSN聊天工具进行自我传播。
手脱“多层变形壳混合加密保护”部分：

UPX变形壳结束[F8]：
00419DB8  - E9 FB7BFEFF     JMP misfotos.004019B8

一个回跳，不要跳，可以向下执行[F4]：
00401F6F  ^\0F85 D3FCFFFF   JNZ misfotos.00401C48

这个CALL要进去[F7]，不然程序会跑飞：
00402059    FFD6            CALL ESI

未知壳结束，产生一个异常[F8]：
00DC05E0    FFE0            JMP EAX

从系统领空飞回主程序领空[F8]：
7C809AFA    C2 0C00         RETN 0C

这里应该就是程序代码入口点(这里DUMP会卡死，不知道程序是什么语言写的，入口点处的代码结构看不出来什么明显特征)：
00402B96    55              PUSH EBP
-----------------------------------------------------------------------

-----------------------------------------------------------------------
病毒主程序动态逆向跟踪反汇编调试分析部分：

启动项：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
ValueName = "Microsoft Service Evaluator Engin"
"C:\windows\system32\mssee.exe"

比较自己是不是"C:\windows\system32\mssee.exe"程序：
汇编代码位置：00402CA2   /74 70           JE SHORT mssee.00402D14
("C:\windows\system32\"这个路径的字母存在大小写的区别，但病毒只判断了小写，并没有判断大写，属于BUG。)。
-------------------------------------------
如果自身不是"C:\windows\system32\mssee.exe"则执行如下操作：

自我复制：
"C:\windows\system32\mssee.exe" ->设置属性为：系统、隐藏、只读。

利用系统API函数“ShellExecuteA”调用运行"C:\windows\system32\mssee.exe"。

修改HOSTS文件，利用域名映像劫持技术禁止用户访问与安全相关的网站：
"C:\windows\system32\drivers\etc\hosts"
--------------------------
# Copyright (c) 1993-1999 Microsoft Corp.
#
# This is a sample LMHOSTS file used by the Microsoft TCP/IP for Windows.
#

->这里填加了N行回车，用户打开后误以为没有被填加域名映像劫持，其实把滚动条向下拉动到低，就可以看到下边的信息了。

127.0.0.1        jayloden.com
127.0.0.1        www.jayloden.com
127.0.0.1        www.spywareinfo.com
127.0.0.1        spywareinfo.com
127.0.0.1        www.spybot.info
127.0.0.1        spybot.info
127.0.0.1        kaspersky.com
127.0.0.1        kaspersky-labs.com
127.0.0.1        www.kaspersky.com
127.0.0.1        www.majorgeeks.com
127.0.0.1        majorgeeks.com
127.0.0.1        securityresponse.symantec.com
127.0.0.1        symantec.com
127.0.0.1        www.symantec.com
127.0.0.1        updates.symantec.com
127.0.0.1        liveupdate.symantecliveupdate.com
127.0.0.1        liveupdate.symantec.com
127.0.0.1        customer.symantec.com
127.0.0.1        update.symantec.com
127.0.0.1        www.sophos.com
127.0.0.1        sophos.com
127.0.0.1        www.virustotal.com
127.0.0.1        virustotal.com
127.0.0.1        www.mcafee.com
127.0.0.1        mcafee.com
127.0.0.1        rads.mcafee.com
127.0.0.1        mast.mcafee.com
127.0.0.1        download.mcafee.com
127.0.0.1        dispatch.mcafee.com
127.0.0.1        us.mcafee.com
127.0.0.1        www.trendsecure.com
127.0.0.1        trendsecure.com
127.0.0.1        www.viruslist.com
127.0.0.1        viruslist.com
127.0.0.1        www.hijackthis.de
127.0.0.1        hijackthis.de
127.0.0.1        f-secure.com
127.0.0.1        www.f-secure.com
127.0.0.1        Merijn.org
127.0.0.1        www.Merijn.org
127.0.0.1        www.avp.com
127.0.0.1        avp.com
127.0.0.1        analysis.seclab.tuwien.ac.at
127.0.0.1        www.bleepingcomputer.com
127.0.0.1        bleepingcomputer.com
127.0.0.1        trendmicro.com
127.0.0.1        www.trendmicro.com
127.0.0.1        www.safer-networking.org
127.0.0.1        safer-networking.org
127.0.0.1        grisoft.com
127.0.0.1        www.grisoft.com
--------------------------

安装程序自我删除：
利用调用控制台命令和重启删除的方式合用。

关闭退出。
-------------------------------------------

-------------------------------------------
如果自身是"C:\windows\system32\mssee.exe"则执行如下操作：

需要手动设置下EIP，让程序从这里开始执行代码：
汇编代码位置：00402D14    FF15 88704000   CALL DWORD PTR DS:[407088]

提升自己为"SeDebugPrivilege"权限。

调用系统内核程序“ntkrnlpa.exe”获取“PsInitialSystemProcess”地址，然后再利用“ZwSystemDebugControl”和“GetCurrentProcessId”等函数实现RING3下隐藏"C:\windows\system32\mssee.exe"进程，并且系统SSDT没有被HOOK，用户很难发现病毒的踪迹。
--------------------------
隐藏该病毒主程序的进程所调用的函数反汇编地址如下：
关键部分的汇编代码位置：
00402D92    E8 75340000     CALL misfotos.0040620C
00402D97    FF15 80704000   CALL DWORD PTR DS:[407080]
00402D9D    50              PUSH EAX
00402D9E    8D8D 98F8FFFF   LEA ECX,DWORD PTR SS:[EBP-768]
00402DA4    E8 0C330000     CALL misfotos.004060B5
--------------------------

使用函数“FindWindowA”寻找窗口类“Class = "Shell_TrayWnd"”(该窗口是Windows任务栏,Windows任务栏是由“explorer.exe”创建的)：
向系统桌面程序“explorer.exe”进程注入代码，使其进程执行病毒指定的恶意代码。
恶意代码功能是：
1：以共享方式打开"C:\windows\system32\mssee.exe"文件，防止用户删除该病毒主程序文件。
2：建立互斥量“t3x0”，利用进程守护技术原理，用系统“explorer.exe”进程来保护病毒主程序进程不被关闭(循环监视病毒主程序进程是否被关闭，如果发现被关闭则重新调用运行)。
--------------------------
从这里开始向系统“explorer.exe”进程注入恶意十六进制代码：
汇编代码位置：00405304    52              PUSH EDX

写入(注入)两段数据：
1：数据段，配置数据信息：
004053DB FF15 50704000 CALL DWORD PTR DS:[407050] ; kernel32.WriteProcessMemory
0022F4BC   00000098  |hProcess = 00000098 (window)
0022F4C0   00C30000  |Address = C30000
0022F4C4   0022F550  |Buffer = 0022F550 (数据)
0022F4C8   00000160  |BytesToWrite = 160 (352.)
0022F4CC   0022F6C0  \pBytesWritten = 0022F6C0

2：代码段，要执行的代码：
0040542C FF15 50704000 CALL DWORD PTR DS:[407050] ; kernel32.WriteProcessMemory
0022F4BC   00000098  |hProcess = 00000098 (window)
0022F4C0   00C40000  |Address = C40000
0022F4C4   004050C0  |Buffer = misfotos.004050C0 (数据)
0022F4C8   000000AB  |BytesToWrite = AB (171.)
0022F4CC   0022F6C0  \pBytesWritten = 0022F6C0

创建远程线程去执行注入到系统“explorer.exe”进程中的恶意代码。
--------------------------

不停的循环连接网络，进行秘密数据通信：
域名地址：http://secure.freebsd.la
I P 地址：66.139.78.164:9798
I P 地址：217.117.25.3:9798
--------------------------
操作：连接网络
协议：TCP
地址：66.139.78.164
端口：9798

操作：连接网络
协议：TCP
地址：217.117.25.3
端口：9798
--------------------------
发现病毒会在后台连接这个网站地址“http://72.20.54.65/”。自己手动使用“IE浏览器”打开后发现网页是个可以使整个“IE浏览器”窗口都震动的“骷髅头”。(小心有病毒，或者病毒作者用来刷访问量用的，我没进行检测)。
-------------------------------------------
-----------------------------------------------------------------------

-----------------------------------------------------------------------
手动杀毒方法步骤：
1：停止掉病毒保护进程“explorer.exe”(系统桌面程序)。
2：结束掉病毒进程“C:\windows\system32\mssee.exe”。
3：删除掉病毒程序文件“C:\windows\system32\mssee.exe”。
4：重新启动运行系统桌面程序“C:\windows\explorer.exe”，查杀病毒完毕，经过实际测试有效。