2008/1/6 机器狗新变种的解决方法 免疫批处理 已认可实行 转载请注明出自雨林木风 bbs.ylmf.com,本贴地址:http://bbs.ylmf.com/read.php?tid=510638&u=240606
system32\drivers\puid.sys
system32\spoolsv.exe
新变种运行之后,首先呢,会在以上两个目录建两个文件,然后有变种程序来运行spoolsv.exe程序,它是先删除 spoolsv.exe,再接着新建spoolsv.exe,因为它是一个打印程序,所以伪装的挺像的.,然后通过spoolsv.exe来创建puid.sys来达到穿透.接着,在system32\drivers\下面创建aa1.exe--aa10.exe,每运行aa1.exe--aa10.exe,都会自动在windows和system32下面创建很多的DLL和EXE文件.现在把一部分列表提供出来
system32\drivers\puid.sys
system32\avwghmn.dll
system32\avwghst.exe
system32\avwlist.exe
system32\jsqxazc.exe
system32\spoolsv.exe
system32\ntfs.dll
system32\aflpxchzx.dll
system32\cinsafjwow.dll
system32\FTCCompress.dll
system32\LYLOADER.exe
system32\LYMANGR.DLL
system32\MSDEG32.DLL
system32\mszxaab32.dll
system32\REGKEY.hiv
system32\upxdnd.dll
system32\DbgHlp32.dll
system32\fhnbkz.dll
system32\LotusHlp.dll
system32\mshmsdjs32.dll
system32\MsIMMs32.dll
system32\NVDispDrv.dll
system32\WSockDrv32.dll
system32\AVPSrv.dll
system32\gmrwejodj.dll
system32\MsPrint32D.dll
system32\msqdooy32.dll
system32\tydiquyqj.dll
system32\SHAProc.dll
system32\snetcfg.exe
system32\ftccompress.dll
auttyx.exe
WSockDrv32.exe
136588MM.DLL
arbfmc.exe
cusmow.exe
hrneoc.exe
LotusHlp.exe
upihed.exe
136588WL.DLL
SHAProc.exe
NVDispDrv.exe
juszwp.exe
cfkxec.exe
upxdnd.exe
,以上列表中的病毒都是一个接着一个运行的,很麻烦.每次运行aa1-aa10这样的程序,都会把一些病毒自动添加到注册表的启动项里.而且会把taskmgr.exe给替换.
我并没有往下继续查下去,后来发现只有两种文件是主程序.也就是puid.sys,spoolsv.exe.
先把IP给大家说下,先防住.我查看了,是广东那边的59.34.197.185
IP是可以随便更改的.
还有就是病毒会自动的注入消息钩子,比较头疼.[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]处有木马的DLL钩子.
.给大家的解决方法.
@echo off
del /f /q /a %SystemRoot%\system32\spoolsv.exe
md %SystemRoot%\system32\spoolsv.exe
attrib %SystemRoot%\system32\spoolsv.exe +s +h +a +r
echo y|cacls.exe %SystemRoot%\system32\spoolsv.exe /d everyone
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\spoolsv.exe" /v debugger /t reg_sz /d debugfile.exe /f
md %SystemRoot%\system32\drivers\puid.sys
attrib %SystemRoot%\system32\drivers\puid.sys +s +h +a +r
echo y|cacls.exe %SystemRoot%\system32\drivers\puid.sys /d everyone
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\puid.sys" /v debugger /t reg_sz /d debugfile.exe /f
来源于：http://www.luhuaxiang.com.cn 画祥电脑网
超级感谢
