ccsvchstexe_ccsvchst.exe怎么启动_dwm.exe(2)

看来作者真费了一番苦心啊，收集了所有主流杀软和主流检测工具的文件名啊。不过映像劫持也很好破解，把打不开的杀软重命名就好了。

注册表修改基本就是这些，不过Total Uninstall只是简单的运行前后对比而已。

下来再看看Procmon的日志吧。

果然和Total Uninstall就不一样了，首先可以看到病毒加载了C:\windows\system32\ntdll.dll，这是NT系统的一个重要模块。顺带说一句，“臭名昭著”的strcpy就是在这里定义的….

在我截图的过程中发现所有带有SysAnti字样和带有Auorun字样的窗口都会被强制关闭，另外含有主流杀软名字的窗口也会被强制关闭。所以中毒电脑会被阻止通过搜索引擎查找相关资料。而新加入的可移动磁盘也会被建立SysAnti.exe和AutoRun.inf文件，以通过U盘等传播。ccsvchstexe不过没有发现病毒开启的端口，暂时看来不是木马什么的。

继续看日志，SysAnti.exe接着查询了映像劫持中有没有自己，发现没有后加载 C:\windows\system32\kernel32.dll，user32.dll等等诸多的dll运行库。运行rundll32.exe等等…..咦，TCP连接202.171.253.108，开始网络操作了，因为是虚拟机，我也没有安装任何的第三方防火墙，而windows自带的可以直接忽略….所以也没有发现连接对象。Procmon的记录很琐碎，大致就是这些，主要还是对注册表的一些操作，涉及到驱动什么的。

简单分析就到这里吧，下面检测下动态状况。

打开IceSword，额…那个名为IceSword的文件夹被瞬间关闭， IceSword也打不开…哦，对了，映像劫持。给IceSword改名后顺利打开并且正常运行了。奇怪，在进程中并未发现可疑的，难道是注入到某个系统进程了？或者是服务级别的？更有甚者，ring0级别把自己隐藏了？

先奔着最坏的可能去，嗯….内核模块没发现异常，服务和设备也没有增加。看来可以初步锁定为进程插入型了，至于这个到底是病毒还是木马现在还不好说。

虚拟机运行的XP本来就很干净，简单看了下进程，怀疑对象锁定在了explorer.exe和svchost.exe上。打开模块信息…..太多了，加载的模块都有好几十。为了检测起来容易些，重启虚拟机进入安全模式吧。在实验室我已经确认了病毒竟然能顺利运行在安全模式下。

不对….无法进入安全模式了….这个文件是我在实验室直接打包带回来的样品啊…目前搞不清楚状况了。

没办法，直接正常启动吧，先不修复安全模式了。运行Procmon，监视所有线程操作，嘿嘿，果然发现了幕后黑手svchost.exe，PID为704。咦，这个svchost.exe竟然是以administrator运行的，看来自己是大意了，连这么明显的破绽都没看到啊。ccsvchstexe

看来病毒是注入到svchost.exe进程里了，果断用IceSword查找svchost.exe的模块，比对后果然发现了问题。

先试试直接结束PID为704的svchost.exe吧，嗯…可以结束，看来不是双进程保护的。删除了C盘下的SysAnti.exe和AutoRun.inf文件，也没有被重建了。

清除所有病毒文件和注册表项目后重启，再没有发现病毒痕迹。

P.S.监视了这个病毒很长一段时间，日志里没有发现它对其余文件的操作和键盘记录之类，也不知道是不是需要某些特定情景的触发。总之，手工清除并不复杂…

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-22210-2.html