帮忙分析个病毒

dst1

这个病毒很强悍 弄得我只能重装系统 硬盘和移动硬盘都格式化 损失不少文件啊 病毒是感染类型的 还加了壳 真郁闷 密码zzz

dreams521

jason_jiang

MSE： Virus:Win32/Sality.AM

* Win32/Kashu.B  (AhnLab)
* Win32.Sality.NX (BitDefender)
* Win32/Sality.W (CA)
* Win32.Sector.5 (Dr.Web)
* Win32/Sality.NAO (ESET)
* W32/Sality.AJ (Frisk (F-Prot))
* Virus.Win32.Sality.y (Kaspersky)
* W32/Sality.AE (McAfee)
* W32/Sality.AO (McAfee)
* W32/Smalltroj.DXSV (Norman)
* W32/Sality-AM (Sophos)
* W32.Sality.AE (Symantec)
* Win32.Sality.AK (VirusBuster)

Virus:Win32/Sality.AM是一种多态感染型病毒的一个变种，主要攻击扩展名.SCR or .EXE的Windows可执行文件。

Virus:Win32/Sality.AM的活动可能有以下表现：
* 被感染文件出现意外的大小增长
* 安全软件失效

安装
Win32/Sality的主要安装方式是感染文件。多数变种释放一个DLL，例如：

<system folder>\wmdrtc32.dll
<system folder>\wmdrtc32.dl_

扩展名 '.dl_' 的是DLL的压缩副本。DLL包含了病毒代码。
最近的一些变种，如Win32/Sality.AM，不在硬盘上释放DLL，而是完全加载到内存中。

文件感染  
Virus:Win32/Sality通常攻击C盘的EXE和SCR文件。被感染的文件大小会增加。

删除安软相关文件
Sality变种通常会删除和安软更新有关的文件：
.AVC
.KEY
.VDB

终止安软进程
Win32/Sality广泛搜索并试图终止安软进程，并删除相关服务。

窃取敏感信息
一些Virus:Win32/Sality变种可窃取缓存的密码、记录击键动作。

下载并执行文件
Win32/Sality变种通常试图下载并执行其他文件。也可能会先试图连接微软网站，以确定网络是否连通。

降低系统安全性
Win32/Sality变种可能修改注册表以降低系统安全性。

• 禁用UAC
  修改值: EnableLUA
  数据: "0"
  位于子键: HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System
• 修改Windows防火墙设置，允许病毒联网
  添加值: <Win32/Sality file name>
  数据: "<Win32/Sality file name>:*:enabled:ipsec"
  位于子键: HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
• 禁用Windows防火墙
  修改值: EnableFirewall
  数据: "0"
  位于子键: HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\
  FirewallPolicy\StandardProfile
• 重定向NETSH事件跟踪会话日志
  修改值: LogSessionName
  数据: "stdout"
  位于子键: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Tracing\Microsoft\NAP\Netsh
• 禁止安全中心监控杀软状态
  修改值: AntiVirusOverride
  数据: "1"
  位于:
  HKLM\SOFTWARE\Microsoft\Security Center
  HKLM\SOFTWARE\Microsoft\Security Center\Svc
• 禁用任务管理器
  修改值: DisableTaskMgr
  数据: "1"
  位于子键: HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
• 禁用IE脱机模式
  修改值: GlobalUserOffline
  数据: "0"
  位于子键: HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings
• 使隐藏文件保持隐藏
  修改值: Hidden
  数据: "2"
  位于子键: HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced

username

2010-1-8 16:31:02    修改注册表值    阻止并结束进程
进程: d:\emule\1\1\样本\新建文件夹\mrt.exe
目标: HKEY_USERS\S-1-5-21-1202660629-838170752-1801674531-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
值: 0x00000002(2)
规则: [注册表组]自动击杀用 -> [注册表]*\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced; Hidden

这个是被感染了的windows恶意软件删队除工具
会插入其它进程
然后用其它进程对exe文件进行感染

碰了我3次自动kill规则才测出来＝ ＝

秋雨

2010-01-08 16:32:23    创建文件      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
文件路径:C:\WINDOWS\Debug\mrt.log
触发规则:所有程序规则->A02…有关文件创建修改组（含黑名单）->%windir%\*


2010-01-08 16:32:23    修改注册表内容      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
注册表名称:Hidden
触发规则:所有程序规则->A07…系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2010-01-08 16:32:23    创建注册表值      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableTaskMgr
触发规则:所有程序规则->A07…系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2010-01-08 16:32:23    创建注册表值      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
注册表路径:HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
注册表名称:DisableRegistryTools
触发规则:所有程序规则->A07…系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2010-01-08 16:32:23    创建注册表值      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
注册表路径:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
注册表名称:EnableLUA
触发规则:所有程序规则->A07…系统和软件操作（黑白）->*\Software\Microsoft\Windows*\*


2010-01-08 16:32:23    修改文件      操作:阻止
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
文件路径:C:\WINDOWS\SYSTEM.INI
触发规则:应用程序规则->A02…禁止读取的文件->*.*->*\System.ini


2010-01-08 16:32:23    修改其它进程内存      操作:阻止并结束进程
进程路径:D:\Downloads\A\1\新建文件夹\mrt.exe
目标进程:C:\WINDOWS\Explorer.EXE
触发规则:所有程序规则->A01…禁止注入系统进程（黑名单）->%windir%\Explorer.EXE

dst1

谢谢那你们 你们高手 我每次分析都是中一次毒 分析不出来 这病毒也牛 都被他感染了

悠柚

D:\TDDownload\1\新建文件夹\mrt.exe,查到病毒： W32/Sality.AA, 操作： 删除/隔离