ccsvchstexe_ccsvchst.exe怎么启动_dwm.exe

周一在2号实验楼323嵌入式实验室用U盘时发现有病毒，重启后发现刚启动时电脑就有病毒，看来还原卡没起作用。一时兴起打包了病毒文件回来研究下。

病毒文件名：SysAnti.exe

文件大小：52.5KB

MD5：4B160901566108C6F89F21444CE503E7

PEID查壳信息：

PEID显示是ASPack壳，这一款兼容性良好的老牌壳。不过估计用工具脱不了，OD载入时出错，看来经过特意加密防止反编译。我也懒得深入研究壳了，直接丢入虚拟机的XP，创建快照。打开Procmon和Total Uninstall监视，然后运行。

先分析Total Uninstall下直观的文件和注册表修改情况：

文件修改：

1.在C:\windows\Fonts目录下创建cjavv.fon和fprij.fon文件，从文件名上分析可能是随机文件名。

2.与实验室看到的不同，病毒在C:\windows\system32目录下创建了SysAnti.exe文件，而不是实验室的C:\Program Files\Common File目录。

3.修改了C:\windows\system32\drivers\etc目录下的hosts文件，将主流杀软网站指向本地127.0.0.1地址，以阻止用户访问。

4.在所有磁盘创建了SysAnti.exe和AutoRun.inf文件（老掉牙的自动运行传播方式）

其AutoRun.inf文件内容如下：

比较有意思的是这个病毒会检测并关闭打开的记事本，不让我看这个文件内容。不过写的不错，在鼠标右键伪造了“打开”和“资源管理器”选项以混淆用户。

文件修改暂时就这么多，不过Total Uninstall是静态监视器，呆会还要看Procmon动态记录的信息。

注册表修改：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run，

“SysAnti”=”C:\windows\System32\SysAnti.exe”

这是建立自动运行。需要特别指出的是，这个路径下建立的自启动是不会显示在（msconfig）系统配置实用程序下的。

奇怪的是而在IceSword下也看不到，不过XueTr下可以看到启动项。

然后是映像劫持，病毒在

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Image File Execution Options 下建立了以下键值：

360hotfix.exe，360rpt.exe，360Safe.exe，360safebox.exe，360tray.exe，adam.exe，AgentSvr.exe，AntiArp.exe，AppSvc32.exe，arvmon.exe，AutoGuarder.exe，autoruns.exe，avgrssvc.exe，AvMonitor.exe，avp.com，avp.exe，CCenter.exe，ccSvcHst.exe，FileDsty.exe，findt2005.exe，FTCleanerShell.exe，HijackThis.exe，IceSword.exe，iparmo.exe，Iparmor.exe，IsHelp.exe，isPwdSvc.exe，kabaload.exe，KaScrScn.SCR，KASMain.exe，KASTask.exe，K32.exe，KDX.exe，KPFW.exe，KSetup.exe，KStart.exe，killhidepid.exe，KISLnchr.exe，KMailMon.exe，KMFilter.exe，KPFW32.exe，KPFW32X.exe，KPFWSvc.exe，KRepair.COM，KsLoader.exe，KVCenter.kxp，KvDetect.exe，kvfw.exe，KvfwMcl.exe，KVMonXP.kxp，KVMonXP_1.kxp，kvol.exe，kvolself.exe，KvReport.kxp，KVScan.kxp，KVSrvXP.exe，KVStub.kxp，kvupload.exe，kvwsc.exe，KvXP.kxp，KvXP_1.kxp，KWatch.exe，KWatch9x.exe，KWatchX.exe，LiveUpdate360.exe，loaddll.exe，MagicSet.exe，mcconsol.exe，mmqczj.exe，mmsk.exe，NSetup.exe，nod32krn.exe，nod32kui.exe，PFW.exe，PFWLiveUpdate.exe，QHSET.exe，Ras.exe，Rav.exe，RavCopy.exe，RavMon.exe，RavMonD.exe，RavStore.exe，RavStub.exe，ravt08.exe，RavTask.exe，RegClean.exe，RegEx.exe，rfwcfg.exe，RfwMain.exe，rfwolusr.exe，rfwProxy.exe，rfwsrv.exe，RsAgent.exe，Rsaupd.exe，RsMain.exe，rsnetsvr.exe，RSTray.exe，runiep.exe，safebank.exe，safeboxTray.exe，safelive.exe，scan32.exe，ScanFrm.exe，shcfg32.exe，smartassistant.exe，SmartUp.exe，SREng.exe，SREngPS.exe，symlcsvc.exe，syscheck.exe，Syscheck2.exe，SysSafe.exe，ToolsUp.exe，TrojanDetector.exe，Trojanwall.exe，TrojDie.kxp，UIHost.exe，UmxAgent.exe，UmxAttachment.exe，UmxCfg.exe，UmxFwHlp.exe，UmxPol.exe，UpLive.exe，WoptiClean.exe，zxsweep.exe

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-22210-1.html