干掉进程管理器、explorer，分享源码

zltension1

分享一个威胁：Stickyapp32

执行它会出现如下状况：




在XP下执行，进程管理器及explorer被干掉，而且无法再打开。硬盘在狂转 （不知为何），机器非常卡，啥都干不了了。
我用虚拟器win2003跑了下，cpu占用还好，只是它的进程无法结束，但重启后系统会报explorer及taskmgr崩溃。

扫描如下：
文件 StickyApp32.exe
接收于 2009.01.21 02:23:41 (CET)
当前状态: 正在读取 ...
队列中
等待中
扫描中
完成
未发现
停止
结果: 0/39 (0%)

反病毒引擎	版本	最后更新	扫描结果
a-squared	4.0.0.73	2009.01.21	-
AhnLab-V3	5.0.0.2	2009.01.20	-
AntiVir	7.9.0.57	2009.01.20	-
Authentium	5.1.0.4	2009.01.20	-
Avast	4.8.1281.0	2009.01.20	-
AVG	8.0.0.229	2009.01.20	-
BitDefender	7.2	2009.01.21	-
CAT-QuickHeal	10.00	2009.01.20	-
ClamAV	0.94.1	2009.01.20	-
Comodo	939	2009.01.20	-
DrWeb	4.44.0.09170	2009.01.21	-
eSafe	7.0.17.0	2009.01.20	-
eTrust-Vet	31.6.6317	2009.01.20	-
F-Prot	4.4.4.56	2009.01.20	-
F-Secure	8.0.14470.0	2009.01.21	-
Fortinet	3.117.0.0	2009.01.15	-
GData	19	2009.01.21	-
Ikarus	T3.1.1.45.0	2009.01.21	-
K7AntiVirus	7.10.596	2009.01.20	-
Kaspersky	7.0.0.125	2009.01.21	-
McAfee	5501	2009.01.20	-
McAfee+Artemis	5501	2009.01.20	-
Microsoft	1.4205	2009.01.21	-
NOD32	3782	2009.01.21	-
Norman	5.93.01	2009.01.20	-
nProtect	2009.1.8.0	2009.01.20	-
Panda	9.5.1.2	2009.01.20	-
PCTools	4.4.2.0	2009.01.20	-
Prevx1	V2	2009.01.21	-
Rising	21.13.11.00	2009.01.20	-
SecureWeb-Gateway	6.7.6	2009.01.20	-
Sophos	4.37.0	2009.01.20	-
Sunbelt	3.2.1835.2	2009.01.16	-
Symantec	10	2009.01.20	-
TheHacker	6.3.1.5.224	2009.01.20	-
TrendMicro	8.700.0.1004	2009.01.20	-
VBA32	3.12.8.10	2009.01.19	-
ViRobot	2009.1.20.1569	2009.01.20	-
VirusBuster	4.5.11.0	2009.01.20	-

附加信息
File size: 10240 bytes
MD5...: e73a7126d85bde755a0017a1f7f5a08e
SHA1..: 63ec99db60048b6522f72c95706fa6a2d4fee347
SHA256: 50fd36ebed3eb4f7239389327720431370f0d293e02a48afc678be33b5cee952
文件 StickyApp32.dll 接收于 2008.06.15 22:09:53 (CET) 当前状态: 完成 结果: 15/32 (46.88%)
反病毒引擎	版本	最后更新	扫描结果
AhnLab-V3	-	-	Win-Trojan/StartPage.43008.B
AntiVir	-	-	SPR/Rootkit.A
Authentium	-	-	-
Avast	-	-	Win32:Trojan-gen {Other}
AVG	-	-	Downloader.Generic.NLW
BitDefender	-	-	Trojan.Hacktool.Rootkit.A
CAT-QuickHeal	-	-	-
ClamAV	-	-	-
DrWeb	-	-	Trojan.DownLoader.59354
eSafe	-	-	-
eTrust-Vet	-	-	-
Ewido	-	-	-
F-Prot	-	-	-
F-Secure	-	-	-
Fortinet	-	-	HackerTool/Rootkit
GData	-	-	Win32:Trojan-gen
Ikarus	-	-	-
Kaspersky	-	-	-
McAfee	-	-	Generic AdClicker.d
Microsoft	-	-	-
NOD32v2	-	-	-
Norman	-	-	W32/DLoader.ALBS
Panda	-	-	Adware/GoodSearchNow
Prevx1	-	-	-
Rising	-	-	Trojan.Clicker.Agent.iq
Sophos	-	-	-
Sunbelt	-	-	Hacktool.Rootkit
Symantec	-	-	Hacktool.Rootkit
TheHacker	-	-	-
VBA32	-	-	-
VirusBuster	-	-	-
Webwasher-Gateway	-	-	Riskware.Rootkit.A

附加信息

MD5: 7cc41bbd4adfc3a149a612ef504a8c1d

SHA1: 29941f96380ad90195e715c84fe1835b3da086d0

SHA256: 154af9cc9f2db387b6807d0771d0a0003cbef973de895c026e9de84c5cf55e00

SHA512: a0848ef308fe8c56b79fd0a9567902d536c0c309604ce412c9e08559f99d3b628d7d88a59e4a3c1617e2c2e28cce7b54fb0e7ab5cbfb6fa12a44c82c70fadd1d

它的进程是普通工具无法结束的，但是ntsd命令可以结束它。
其实这个StickyApp32.dll是用来保护进程的目的，谁想会有这样结果，不知杀软的自身保护是否雷同

有兴趣看一下  

附上源码哈：  

wcj20236

沙发占楼，我给集中下。

附件为楼主样本。微点杀，，，，9楼有图

[ 本帖最后由 wcj20236 于 2009-1-21 13:00 编辑 ]

IllusionWing

就HOOK了OpenProcesss......
这有啥子的。。

江湖的fans

抢先

TO KL

TO  KV

江湖的fans

好多的分卷

不想下载来

谁来TO KL

IllusionWing

me to kl already

[ 本帖最后由 gankeyu 于 2009-1-21 12:57 编辑 ]

smallpotto

很强悍啊^看看

jijiasd

什么东东

wcj20236

微点杀。。。。

taoyuan237

瑞星吧DLL干掉了然后运行就会出错

[ 本帖最后由 taoyuan237 于 2009-1-21 13:00 编辑 ]