nx88vk.dll-绑定3929.cn

bluefox_dream

卡巴狂叫，嘿嘿

allinwonderi

henmy168

BD也可查
支持吓

coderui

病毒运行后EXE主程序自我删除，然后释放一个DLL(文件名随机)和一个SYS(文件名随机)。
这是一个驱动级病毒，该病毒只有一个启动项，那就是驱动的服务。
驱动服务启动(Boot级)后，调用DLL组件运行(用rundll32.exe加载)。
驱动在运行过程中，会保护释放出来的DLL文件、SYS文件和系统HOSTS文件，使之不被修改、删除。还会监视保护自己的服务启动项(删除后会重新创建)。
该驱动的服务无法禁用、停止、终止。
驱动会设置系统IE浏览器的默认首页为“http://www.3929.cn/?tn=102731”。

coderui

这个病毒用PE盘很好杀，就2个文件，一个服务启动项。

专杀的话，正在写，这个需要驱动级的专杀，不然很难除掉它。

coderui

样本下载地址：http://www.windows1995.cn/l9.exe.
下载时把连接地址最后边的“.”去掉，就可以下载了。
上边的地址是原病毒作者的，它会自动更新或删除，自己注意安全。
--------------------------------------------------------------------------------------------------
病毒升级了，刚打开看了一下新版的，文件大小：213754字节，MD5：3d7416b32d22435ac1f63be9c1aa44f2。

这个新版的内部核心没什么变化，只是在外边多加了层类似于壳的东西。
为什么说是类似于壳呢？因为它属于捆绑器，把一个DLL绑了进去。

新版的运行后，只是在临时文件夹中多释放了一个DLL文件“itb2.tmp”（这个文件是由外部壳释放出来的，应该也是个病毒，但我没分析），壳把“itb2.tmp”插入到了“explorer.exe”中运行，会连接网络。

coderui

-----------------------------------------------------------------------------------------------
直接手动删除该病毒的方法步骤(经过实际测试绝对有效)：
第一步：寻找判断定位病毒释放出来的DLL和SYS的文件名称(DLL和SYS加一起一共两个文件)。
第二步：关闭掉System进程打开的DLL和SYS文件的句柄。
第三步：删除掉SYS驱动文件。
第四步：重新启动计算机，然后删除掉DLL组件文件。
第五步：删除掉驱动的服务启动和其它注册表残留。
第六步：打开“IE设置选项”，设置您想要设置的默认IE浏览器主页。
第七步：使用杀毒软件进行全盘查杀病毒(该病毒为木马下载器下载到您计算机中的病毒，那个木马下载器还下载了N多其它病毒也同时安装到了您的计算机系统中)。
第八步：该病毒清理完毕。

利用PE盘手动删除该病毒的方法步骤(经过实际测试绝对有效)：
第一步：寻找判断定位病毒释放出来的DLL和SYS的文件名称(DLL和SYS加一起一共两个文件)。
第二步：使用PE盘启动计算机，删除掉病毒释放出来的DLL和SYS文件(DLL和SYS加一起一共两个文件，删除前请事先备份)。
第三步：重新启动计算机进入正常系统，删除掉驱动的服务启动和其它注册表残留。
第四步：打开“IE设置选项”，设置您想要设置的默认IE浏览器主页。
第五步：使用杀毒软件进行全盘查杀病毒(该病毒为木马下载器下载到您计算机中的病毒，那个木马下载器还下载了N多其它病毒也同时安装到了您的计算机系统中)。
第六步：该病毒清理完毕。
-----------------------------------------------------------------------------------------------

coderui

刚看了下，病毒又还原回以前的了，好玩。
仔细分析了下样本，原来是“骇客的服务器”中毒了，中的感染型病毒。结果把自己挂的病毒都给感染了，我上午最开始下载回来的是被感染后的病毒样本，汗。

328397663

2008-9-25 16:37:51        检测到威胁: Trojan-Downloader.Win32.Agent.acge        C:\Documents and Settings\Administrator\桌面\nX88vK.rar/nX88vK.dll               
2008-9-25 16:37:51        已删除: Trojan-Downloader.Win32.Agent.acge        C:\Documents and Settings\Administrator\桌面\nX88vK.rar/nX88vK.dll

wrq

lz强人