磁盘驱动器病毒的特征

全部展开

磁盘驱动器病毒是一种下载病毒. 它将关闭一些安全工具和防病毒软件，并阻止其运行. 它将继续检测窗口，以关闭某些防病毒软件和安全辅助工具，破坏安全模式并删除某些防病毒软件. 和实时监视服务，远程注入到其他进程7a64e58685e5aeb931333361303066中，以启动终止进程的病毒. 1）在网站上吊马，当用户访问一些不安全的网站时，它们会被植入病毒. 这也是早期磁盘驱动器传播的主要方法

2）自动运行通过U盘等移动存储传播，受感染的计算机将在每个分区的根目录（包括可移动存储设备）的根目录中释放两个文件autorun.inf和pagefile.pif. 以达到自动操作的目的.

3）在局域网中的ARP传输方法中，磁盘驱动器病毒会下载其他ARP病毒，并使用隐藏的ARP病毒传输在局域网中传播. 值得注意的是，病毒的相互使用和尴尬已成为当前流行的一种主要趋势，它利用其他病毒的特征来弥补它们的不足. 1）传播的隐瞒: 从以上描述可以看出，在病毒传播过程中，使用的技术手段是所有用户，甚至杀毒软件也无法拦截.

2）启动的隐蔽性: 病毒不会主动添加启动项（这是为了逃避系统诊断工具的检测，这也是它的目标实施例），而是通过重新启动和重命名在C: 下重命名XXXX. 日志文件（XXXX是一些不固定的数字），已重命名为“开始”文件夹. 重新启动重命名优先于自启动，并且在启动完成后，将其删除或重命名. 已经达到了逃避安全工具检测的目的，因此大多数当前的防病毒软件无法有效避免病毒的随机启动. 1）关闭安全软件，设置病毒的全局挂钩，并关闭基于关键字的防病毒软件和诊断工具

此外，病毒还可以根据关键字Rav，avp，kv，kissvc磁碟机病毒传播途径，扫描...枚举当前进程名称以结束进程.

2）文件的显示模式被破坏，病毒修改了注册表，从而修改了文件夹选项的hidden属性，从而使隐藏文件无法显示，从而避免了通过手动删除文件的可能性. 用户

3）如果安全模式被破坏，病毒将在注册表中删除与安全模式相关的值，使安全模式被破坏且不可访问;为了避免其他工具修复安全模式，该病毒将反复重写注册表.

4）破坏防病毒软件的自我保护，该病毒将在C驱动器上释放NetApi00.sys驱动程序文件磁碟机病毒传播途径，并通过该服务加载该文件，从而使许多防病毒软件的监视和主动防御无效. 达到目的后，该病毒将驱动“删除”，消除痕迹.

5）违反安全策略，病毒删除注册表HKLMSoftWaePliciesMicrosoftWindowsSafer项和子项. 并且将被重复重写.

6）自动操作. 在每个硬盘分区的根目录中，由病毒生成的autorun.inf和pagefile.pif均被单独打开，不能直接删除.

7）阻止其他安全软件随机启动，该病毒会删除注册表的整个RUN条目和子项.

8）禁止使用图像劫持方法来阻止病毒运行. 该病毒会删除注册表中的整个“图像文件执行选项”项和子项.

9）病毒自我保护，病毒释放以下文件:

％Systemroot％system32Comsmss.exe

％Systemroot％system32Comnetcfg.000

％Systemroot％system32Comnetcfg.dll

％Systemroot％system32Comlsass.exe

然后，smsss.exe和lsass.exe将运行，并且任务管理器无法直接结束它们，因为它们与系统具有相同的进程名称（不同的路径）. 在检测到这两个进程已关闭后，病毒将立即重新启动. 如果启动被阻止，病毒将立即重新启动系统.

10）在进行分析和检测时，该病毒不会立即破坏系统. 潜入系统一段时间后，该活动将再次开始. 这种行为使得无法通过诸如Installwatch之类的系统快照工具来跟踪病毒的行为.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-199756-1.html