卡饭上的马 分析 by smallyou93[LSG]
本帖最后由 是昔流芳 于 2011-2-11 15:49 编辑样本来源：http://bbs.52pojie.cn/thread-23199-1-1.html
1.调用CMD执行以下命令：
cmd /c sc config ekrn start= disabled
cmd.exe /c taskkill.exe /im ekrn.exe /f
明显针对Nod....
2.释放文件%SystemRoot%\System32\killdll.dll
反复写入该文件并加载
%SystemRoot%\System32\rundll32.exe %SystemRoot%\System32\killdll.dll testall
篡改驱动
%SystemRoot%\System32\Drivers\aec.SYS
%SystemRoot%\System32\Drivers\AsyncMac.sys
加载，恢复SSDT
添加IFEO，挟持多种安软
删除启动项
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
最后删除自身
3.释放文件%SystemRoot%\??????_xeex.exe
下载木马群。。。。
http://wgg.6d2n.com/01/fz.txt
1:http://u8.d7n9.com/sb/ok.exe
1:http://u2.d7n9.com/la/L1.exe
1:http://u2.d7n9.com/la/L3.exe
1:http://u2.d7n9.com/la/L4.exe
1:http://u2.d7n9.com/la/L5.exe
1:http://u2.d7n9.com/la/L6.exe
1:http://u2.d7n9.com/la/L7.exe
1:http://u3.d7n9.com/lm/S10.exe
1:http://u3.d7n9.com/lm/S1.exe
1:http://u3.d7n9.com/lm/S8.exe
1:http://u3.d7n9.com/lm/S2.exe
1:http://u3.d7n9.com/lm/S12.exe
1:http://u3.d7n9.com/lm/S14.exe
1:http://u3.d7n9.com/lm/S01.exe
1:http://u2.d7n9.com/lm/M5.exe
1:http://u2.d7n9.com/lm/M39.exe
1:http://u2.d7n9.com/lm/M25.exe
1:http://u2.d7n9.com/lm/M4.exe
1:http://u2.d7n9.com/lm/M35.exe
1:http://u2.d7n9.com/lm/M33.exe
1:http://u2.d7n9.com/lm/M01.exe
1:http://u3.d7n9.com/lm/S15.exe
1:http://u3.d7n9.com/lm/S16.exe
1:http://u3.d7n9.com/lm/S21.exe
1:http://u2.d7n9.com/lm/M37.exe
1:http://u2.d7n9.com/lm/M15.exe
1:http://u2.d7n9.com/lm/M24.exe
1:http://u2.d7n9.com/lm/M38.exe
1:http://u2.d7n9.com/lm/M23.exe
1:http://u2.d7n9.com/lm/M02.exe
1:http://u3.d7n9.com/lm/S13.exe
1:http://u3.d7n9.com/lm/S17.exe
1:http://u3.d7n9.com/lm/S20.exe
1:http://u3.d7n9.com/lm/S21.exe
1:http://u3.d7n9.com/lm/S11.exe
1:http://u7.d7n9.com/cj/1a.exe
1:http://u9.d7n9.com/cj/a2.exe
1:http://u9.d7n9.com/cj/a10.exe
1:http://u9.d7n9.com/cj/a6.exe
1:http://u7.d7n9.com/cj/a9.exe
1:http://u7.d7n9.com/cj/csj.exe
1:http://u0.d7n9.com/cj/a8.exe
1:http://u8.d7n9.com/sb/01.exe
1:http://u0.d7n9.com/cj/sb1.exe
4.释放文件%SystemRoot%\System32\Drivers\pcidump.sys
安装驱动并加载恢复SSDT
_uok.bat（可能是随机名）
删除自身
:Repeat
del "C:\DOCUME~1\SMALLY~1\桌面\Actvev.exe"
if exist "C:\DOCUME~1\SMALLY~1\桌面\Actvev.exe" goto Repeat
rmdir C:\DOCUME~1\SMALLY~1\桌面
del "C:\DOCUME~1\SMALLY~1\LOCALS~1\Temp\_uok.bat"
篡改驱动
%SystemRoot%\System32\Drivers\aec.SYS
%SystemRoot%\System32\Drivers\AsyncMac.sys
加载，恢复SSDT
启动进程%SystemRoot%\??????_xeex.exe
%SystemRoot%\System32\Drivers\pcidump.sys
安装驱动并加载恢复SSDT
关键是驱动，如果看守好drivers目录的话，这病毒就没戏了
http://www.du110.com/attachments/day_090425/20090425_0301746b42f3edbc97a14YZkeoa4AWHr.png 膜拜93大牛分析~ 继续膜拜93大牛 谢谢老大！！！ :D都分析这个马了 哇。分析的好厉害 继续又继续膜拜93大牛 :$我想学，谁教我 我也想学哈哈哈哈
页:
[1]
2