网络磁碟机_小破孩手机壁纸高清_网路磁碟机连接中断(2)

6． 遍历磁盘，在所有磁盘中添加autorun.inf和pagefile.pif，使得用户打开磁盘的同时运行病毒。

7． 通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。

8． 感染可执行文件，当找个可执行文件时，把正常文件放在自己最后一个节中，通过病毒自身所带的值对正常文件进行加密。

smss.exe用来实现进程保护，程序运行后会进行以下操作：

1．创建一个名为xgahrez的互斥体，防止进程中有多个实例运行。

2．然后创建一个名为MSICTFIME SMSS的窗口，该窗口会对三种消息做出反应：

1．WM_QUERYENDSESSION：当收到该消息时，程序会删除注册表SOFTWARE\Microsoft\Windows\CurrentVersion\Run项下的所有键值。

2．WM_TIMER：该程序会设置一个时钟，每隔0.2秒查找MCI Program Com Application窗口，如果找不到则运行病毒程序。

3．WM_CAP_START：当收到该消息时，向其发送退出消息。

3．把lsass.exe拷贝到C盘根目录下命名为037589.log，同时把该文件拷到启动目录下实现自启动。

dnsq.dll通过挂接全局消息钩子，把自己注到所有进程中，该动态库主要用来HOOK API和重写注册表。动态库被加载后会进行以下操作：

1． 判断自己所在进程是否是lsass.exe、smss.exe、alg.exe，如果是则退出。

2． HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle这几个API使得杀毒软件无法查杀病毒进程。

3． 遍历进程如果进程名为lsass.exe、smss.exe、alg.exe则直接退出，如果是其他进程则创建一个线程，该线程每隔2秒进行以下操作：

1．修改以下键值使得用户无法看到隐藏的受保护的系统文件

HKEY_CURRENT_USERSoftware\Microsoft\Windows\CurrentVersion\Explorer\Advanced

ShowSuperHidden = 0

2．删除以册表键值使得用户无法进入安全模式

HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}

HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}

HKEY_LOCAL_MACHINE SYSTEM\ControlSet001\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}

HKEY_LOCAL_MACHINE SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}

3．删除以册表项，使得镜像劫持失效

HKEY_LOCAL_MACHINE SOFTWARE\Microsoft\Windows NT\CurrentVersion\

Image File Execution Options

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-24122-2.html