新病毒“超级AV终结者”能力极强！致十万余用户感染（附样本）

youba

　　进入2008年的最后一个月，病毒作者的活动越发猖獗。12月4日，金山毒霸反病毒工程师捕获一款高危病毒下载器Win32.TrojDownloader.NsPassT.bm.50688。该下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点，行为及其恶劣。它主要是利用MS08067漏洞在局域网内传播，对抗安全软件，下载大量的木马。由于带有穿透功能，对网吧和局域网用户影响很大。
　　此病毒非常狡猾，它在进入系统后，不会立即运行，而是查找系统中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人员经常使用的工具，如果存在，就会立刻关闭自己、退出运行。很明显，它想刻意逃避反病毒工程师的分析。
　　而该毒的危害性主要体现在它强大的对抗能力。由于同时综合了AV终结者、机器狗、扫荡波的特点，从未有任何病毒的对抗能力像此毒一样凶猛。它在进入系统后，首先会恢复系统SSDT表，一旦SSDT表被恢复，就意味着该毒可以穿透任何一款系统还原软件的防线。
　　同时，它按照自带的一份“黑名单”搜索安全软件，只要发现用户安装得有安全软件，就调将其关闭。毒霸反病毒工程师检查它的“黑名单”后发现，这份名单非常庞大，几乎所有网上能搜索到的安全软件，都是该毒的关闭目标。
　　事情还没完，如果仅仅是关闭，那么用户还可以重新启动这些安全软件。病毒作者当然不会允许这种事情发生，他给病毒设置了映像劫持功能，劫持这些安全软件的进程。如果用户试图启动它们，唯一的结果就是把病毒再激活一次而已。而为阻止用户向安全软件厂商求助，病毒会屏蔽许多安全软件的官网。
　　当解决了“碍事”的安全软件，病毒才放心大胆的读取用户MAC地址，并解密自己的配置文件，获取下载列表，下载大量的盗号木马到用户电脑中运行——这才是它的最终目的。
　　该毒在成功占领一台电脑后，就开始对局域网内的其它电脑实施攻击。它搜索局域网中所有存在MS08067漏洞的电脑，利用漏洞将自己发送到这些电脑上。同时，对所有的电脑展开ARP攻击，劫持用户所浏览网页上的链接，如果用户点击链接，就会被引导到病毒作者安排好的广告网址，或者下载包括该毒在内的一些恶意程序。为确保攻击成功，该毒还会释放出一个扫荡波病毒，协助自己进行攻击。
　　必须提及的是，该毒的ARP攻击频率达到令人惊讶的地步，在毒霸反病毒工程师的测试中，该毒对局域网的ARP攻击竟然高达每分钟1万次以上，在三分钟不到的时间里，就能阻塞由数百台电脑组成的局域网。当攻击达到最高峰时，电脑甚至连病毒作者自己指定的网址也无法访问，这种现象可谓是疯狂至极。
　　仅仅在局域网中传播，病毒作者并不满足。为实现更大范围的传播，该毒在执行上述破坏过程时，还会遍历驱动器，在非a:\和b:\的磁盘分区的根目录下创建AUTO文件autorun.inf和system.dll。一旦用户在中毒电脑上使用U盘等移动存储设备，病毒就会自动将其传染。当在U盘插入另一台电脑时，它又会将该电脑传染，这样就实现了自动传播。
　　综合目前对该毒的分析，以及实际的染毒测试来看，该毒无疑毒霸反病毒工程师今年目前为止所发现最凶猛的病毒之一。
　　根据毒霸反病毒工程师的监测，目前该毒仍在进化中，病毒作者似乎对参考学习其它对抗型病毒的“功夫”很感兴趣，几乎每个变种都会加入新的对抗手段。病毒更新的频率也比较高，每天都会有更新，这也就造成了传统的查杀办法难以应对该毒威胁。
　　毒霸已经可以查杀此病毒，升级病毒库到最新版本并开启实时监控就可以防御，网吧和企业等局域网用户需要下载ARP防火墙，以防止其他机器的攻击。
　　如果您已安装其它厂商的杀毒软件，不便卸载。那么，针对该毒的高危特性和频繁更新，毒霸反病毒工程师推荐使用免费的金山系统急救箱对系统进行清理，然后用毒霸和金山清理专家彻底清除被该毒下载到电脑中的木马，并修复系统受到的破坏。
　　“金山系统急救箱”下载地址http://www.os8.cn/showdown.asp?soft_id=2905
　　金山ARP防火墙下载地址：http://www.os8.cn/showdown.asp?soft_id=2446

想好了再下载！










注意：此病毒破坏能力极为强大！一个对抗能力极强的下载器结合了AV终结者、机器狗、扫荡波、autorun病毒的众多特点，行为及其恶劣。所以几乎所有的测试平台均以破坏，包括还原类、虚拟类、影子类全部可以穿透！

[ 本帖最后由 youba 于 2008-12-7 14:26 编辑 ]

VISN

Access to the data has been denied!
Warning: A virus or unwanted program has been found in the HTTP Data.

Requested URL:  http://bbs.kafan.cn/attachment.p ... 09&t=1228626879
Information:  Is the TR/Killav.azv.2 Trojan  


--------------------------------------------------------------------------------
Generated by AntiVir WebGuard 8.0.15.0, AVE 8.2.0.42, VDF 7.1.0.195

will

汗…
原来这就是传说中的超级AV终结者…
每天卡饭不知道都抓到多少…
我每天都不知道要跑多少个超级AV终结者…
太over了…
真不知道是病毒作者要过年，还是AV厂商要过年…

su-tt

2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\183634.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\195651.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan.QQMess,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\303806.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\315824.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan.PWS.QQPass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\sys_ntme.zys,,,,
2008-12-7 13:17,高,自动防护 已检测到 Downloader,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\231703.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan.KillAV,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\xywgamerecord.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan Horse,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\309815.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\207668.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\element.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\201659.txt,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan.PWS.QQPass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\sys_ntme.zys,,,,
2008-12-7 13:17,高,自动防护 已检测到 Downloader,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\sysmxd3.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\zesttns.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\wtxb673.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\mmxb673.exe,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan Horse,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\xsisco.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Trojan.KillAV,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\system.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\mapi32.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\meyotme.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\qzyerd.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\xuntxn.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\qanhllao.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\craoe.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\lenyuns.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\kandoftt.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\jolends.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\cenvta.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Onlinegame,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\hbqqsg.dll,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\craoek.exe,,,,
2008-12-7 13:17,高,自动防护 已检测到 Infostealer.Gampass,"已禁止, 已禁止",已解决 - 不采取操作,病毒,2008.12.06.020,自动防护,c:\documents and settings\administrator\桌面\新建文件夹\system32及temp文件\hsexer.dll,,,,

change_018

吹的越多越垃圾

The EQs

见识了超级AV终结者，下回来一个白金级AV终结者或者骨灰级AV终结者吧

saga3721

好像没有名字那么超级，恐怖。
映像中最厉害的还是猪，小浩，斑点狗，磁碟机和setup

hover421

果然强悍，能做到大家都认识确实不容易

Seangus

SAV 直接del 了
欣慰

zhangdingyin

前不久一同事就中过，除了清注册表、关启动项、清AUTORUN文件之外，在C盘还会有一个批外理文件，只有全删了才能安宁。