查看完整版本: 可爱的“小狗上学”病毒！！！0

可爱的“小狗上学”病毒！！！0

这是一个使用VB编写的病毒。可以通过U盘等移动存储传播。修改可执行文件图标，映像劫持杀毒软件...
&r5u]]%f7J c`qyUL2b o
1.病毒启动后，释放如下文件或者副本
QKHNl5[P %systemroot%\system32\soleboy.exe-|oaVyP9y%]5~~
%systemroot%\system32\soleboy.txt
_v9_.V2z)JM mt$C!d2iB
XLcjA%~y
各个分区根目录下生成soleboy.exe和autorun.inf达到随移动存储传播的目的。0O"Z@pf!B
K
VOo'mQ lJJ
2.试图结束一些安全工具的进程(kJZT
@ ~ Dw-RTb
比如procexp.exe
;v?&f-q,X2JR U盘病毒免疫器&yC2A(Wb\%Kr^
avgnt.exe
_3VD(m uG7Su*a r Psview.exe1I)@/l-vX#eTD
PowerRmv.exe
aY'z9_]_ ToolsLoader.exe'` Ktm9^f9g
FrameworkService.exe
{6~MTq
y}zll ...
(X"\2I#|-mo8D/]
-n7zFGM6PWpP 3.映像劫持如下杀毒软件和安全工具：4gGb.?;@4b|
360Safe.exe
B2`x LnB 360tray.exe-nu
k+hB } B
ACAAS.exe
S/S0yz L X7N ACAEGMgr.exe
S.DQwrQ4u{ r8k!} ACAIS.exe
3Mf3V\@G ACALS.exea0\[]taa4e
ACASP.exe6qQ3]/jZx0M9L7m6e`xz
ACenter.exeWE*V9n4XF#N*e,C
AFMain.exe
LP:i6bMb;D1[u.] AGB6.EXEcM$~0J4to%|;P&}VJ o
AGBKrnl.exe
*F-Jow4`7C)pdkh AhnSD.exectL2x2~0e(e(xx})Y
AhnSDsv.exe
5t&e"]/Y)~+CF4P AluSchedulerSvc.exe/XHTA Sa
AScheduleService.exe
2K!Y'\!l:^B0i2@s AST.exe
nf!q!Y1@ avcenter.exeL1bW(R+R:sg7J
avgnt.exenp7_yR4AN
avguard.exe'r"E H"w)m&S?8o`6Z ^
CCenter.exe
1YZ5m6u}B8K ccSvcHst.exe
&k.Gw&P J{A+`@ FilMsg.exe
Z*X x6j7zf0Rc FrameworkService.exezVn$yH'Xk9d
KASMain.exe
Z*W1ILQ0RU6e0j KAV32.exec(N"z ~ |)q/x7f:o0BW
KVIETools.exe
k
Y5EN*o4l&]%f9x\ kvsrvxp.exe
8}HK@.f
Dk&rL KWatch.exeAA!x!JB| }5F]
mcconsol.exe,L$Q#h*s8K
Mcshield.exe
bR'PhW"O MPMain.exe
@aJ{B$YO0?/U MPMon.exe
#c,TK6kXY8x8y;w8XP MPSVC.exe
8MX^.MW.vd1Z
A MPSVC1.exe
U*kLc:y MPSVC2.exe4CG*| `9R iv
MSProxy.ahn
_&nA@4w1YJ-cfiB naPrdMgr.exe
`4F-@)H j4Qu
wt nod32krn.exe
B-k
Hlk#F nod32kui.exe:A aHYgE7S,~{)_
PCCIOMON.EXE-sZ:i8}%S.B }
PCCVScan.exe
l'Bp,aO1PE$S
PCMAIN.EXE%{$^|x$G'x-V
PowerRmv.exe8VtJn.C7S9Y0nX(q
psview.exel QO:c5m%u#RB
Rav.exetg;v u \"gE
RavMonD.execfu3jX
sched.exe
l3ZQ a(U"SVP sessmgr.exe
2i+pJw|? shstat.exe2P$aLQ6^ e3HT;O
SnipeSword.exe
}ya z1B TRIALMSG.exe
OGv v~&VW"P;b~Z)y Twister.exe
n;D bEz4P p vcn.exeZC'X#K8k"B;K3h'i
vcs.exe
5{9X-H E5BT2kD vcw.exeFw1Iq9U
VsTskMgr.exe
CA4s d3A{Yi 劫持到%systemroot%\system32\soleboy.exe
iHq(Z%bBX'[ (C6~)[K)H.m:P*Y
4.添加注册表启动项目HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\soleboy: "%systemroot%\system32\soleboy.exe"达到开机启动自身的目的V T,SRmS*D5Y:{wh

B ^(d~k+Co t 5.修改com和exe文件的文件关联指向soleboy.exe
M/Ok#H5y HKLM\SOFTWARE\Classes\comfile\shell\open\command\: "soleboy.exe "%1" %*" _'@e%K+~,VU;W
HKLM\SOFTWARE\Classes\exefile\shell\open\command\: "soleboy.exe "%1" %*"k1k,ws\+[ P
+sj;I&?9`&V!\S
6.修改exe的图标关联 指向soleboy.exe，使得所有exe图标变成小狗图案。
2eKiaY~
_Jr;_r HKEY_CLASSES_ROOT\exefile\DefaultIcon: "soleboy.exe"C9XqBzK*Q

xq@c9GF}o&E   142c678d3e15bd03b31bbac0.jpg (90.64 KB)0mx Tyo3l*K{$S
S"ext rCP
2008-4-3 09:29
|b;e*yBJ)M U{kP:e-F
7.查找带有如下字样的窗口，找到后利用sendmessage函数发送WM_CLOSE命令关闭窗口(Yz BIA]6aj
瑞星反病毒资讯网 [信息安全 源自瑞星] - Windows Internet Explorer([M9I#~I#uo7l|6C
A
Windows 任务管理器#^h7g*Q3QG
注册表编辑器z!U+dmmgM
江民进程查看器ob^Fv^L
欢迎光临江民科技[网络安全，选择江民] - Windows Internet Explorer
'oFOA$L8d
v 金山毒霸信息安全网－免费下载杀毒软件 - Windows Internet ExplorerKCi a5H
卡巴斯基实验室: 反病毒软件,反间谍程序,垃圾邮件过滤 - Windows Internet Explorer
'm,~Cp{ @cIo 360安全卫士－Windows Internet ExplorerY)cXMZ@*F
防病毒、反间谍软件、端点安全、备份、存储和遵从解决方案－赛门铁克公司－Windows Internet Explorer(q/epe M V8h'U
大型企业 - 趋势科技 中国 - Windows Internet ExplorerjKzbit Z[cT2sj)Q
东方微点 - Windows Internet Explorer
/f~*M0s%oHS!t:L ...
"uj%}-eA eY
$Ny7i8{&s { 8 删除%systemroot%\system32\taskkill.exe
scn6Gj0S)A 3c_bn.O-^Rp6k S
9.作者在soleboy.txt中写道：3UA8Mr1M J*RG
+uR"G1U)r
I want to go to university.
b'o5b(T([ d-h I think Jiangmin Antivirus Software is the best security software!
bB,G/i%LY.J N Don't worry ,I won't destroy your data.&f3z3M%UJ_3Ud"ms,A

5J9W4f`#Cd ~7d 解决方法：
+t{(SK8Y%~-p 下载sreng，Icesword
R Qm7b0`3xt sreng:[url=http://www.skycn.com/soft/23312.html#download][color=#000000]http://www.skycn.com/soft/23312.html#download[/color][/url]
8q uD&E [y6@3IG3[ Icesword:[url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip][color=#000000]http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip[/color][/url]
Q(u|d;t^.Oq
6?V0kz9?_!b*? 已经安装winrar的请打开winrar的安装路径 找到winrar.exe 把他改名为winrar.bat双击运行;Y,yG_BE"oQNi
?!?Mu&o`2w
然后单击winrar菜单栏“文件”按钮 打开压缩文件zQ D8`?3\
  07f2f3118a7bf2d7a7ef3fb1.jpg (64.26 KB)
[#T#F7W1h
wFJE/^k:b 2008-4-3 09:29P)i sW4x;c

k xi`+[Gm 5e8r
t^i p%k,T0_rR
分别解压sreng和Iceswordn/q\:j vN5Q-Nm+AQ%ev

!STUu`;M%B%J%nRl 1.把Icesword.exe改名为1.bat运行xQx'` b%x
hJ
打开Icesword－进程V&^#Smp#J \
结束soleboy.exe进程
&BN,n6S8^To\
*I;H8C||9F \"K?(`,e
  556a57a90d4f4bed1e17a2cf.jpg (131.99 KB)
k1w
q/M(U \ ayL U3K2|F|{
2008-4-3 09:29B)t E||q]
2.同样方法解压sreng
A#AMl2J#c)T-LI 把srengps.exe改名为 2.bat运行
1a.}W,MEF
l,i 启动项目 注册表 2h:I/m9bhG7rwTEF
删除如下项目[ZN ln h
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
5fR$x_6I$POT [Soleboy]7]:m"H3HN
并删除所有红色的IFEO项目
E&\R/W%C9o.}%X
:}ujdx   d261311fdd5155d9a78669b8.jpg (102.16 KB)
"`GL(V"LDVXa
1RT:cn,w2k)|$C6s 2008-4-3 09:29B;Zyc1a:Uh4Bux
WnqC)Az
系统修复 文件关联 点击“修复”按钮
G9u0QT/WB [ Z /D;v?'NGWO
3.开始 运行 输入regedit{`S*[ }#`)ae,||oG
展开HKEY_CLASSES_ROOT\exefile\DefaultIcon 修改该项数据为"%1" （不包括引号）可爱的“小狗上学”病毒！！！
H(@m(q"}E 可爱的“小狗上学”病毒2008-03-29 16:18作者：清新阳光                                                            ( [url=http://hi.baidu.com/newcenturysun][color=#000000]http://hi.baidu.com/newcenturysun[/color][/url]) \z ~U#qkN n
日期：2008/03/29                                                        (转载请保留此声明)
^)`h qd?]G 样本来自网友qcqyt，在此表示感谢0[+@js.a}
这是一个使用VB编写的病毒。可以通过U盘等移动存储传播。修改可执行文件图标，映像劫持杀毒软件...

S,WK9r-N'wJ 1.病毒启动后，释放如下文件或者副本f9\a{e nR |
%systemroot%\system32\soleboy.exeF%e kYSox
%systemroot%\system32\soleboy.txtJ(b#}'`/I
I/RuKf9Y
各个分区根目录下生成soleboy.exe和autorun.inf达到随移动存储传播的目的。
}"|k,aY `'w2paE O 2.试图结束一些安全工具的进程
q6_.LT_l!do:L 比如procexp.exem D
Z+g@$h4V.N)S
U盘病毒免疫器
-L.u8Af8o
k avgnt.exe+w kM$e\Y/b
Psview.exe
@ ey ^l,Z/F8fI1bg PowerRmv.exe
1rZ]_2j/v'U ToolsLoader.exe;`\z `w5j
FrameworkService.exe
Hah5KYS .../CGF]![0\lB9w
3.映像劫持如下杀毒软件和安全工具：+Y"\&GH4~7X[)m^}
360Safe.exe
N#tXj'F5oH(gB 360tray.exe D[(lf[Z1e u
ACAAS.exe
3})Yz/d4s ACAEGMgr.exe
&Q5`.w,K eE/K8_z9?4] f ~ ACAIS.exe
4o*Z2L5EtHU'm ACALS.exe
,sme*K9M ACASP.exe
O{&X2V)?6^ ACenter.exe!Zt&r0A*j
q+_Z
AFMain.exe%o-]-K@/x9?7l?
AGB6.EXE
)Pc/B4ze\e!Zs%n T AGBKrnl.exewJpEF
AhnSD.exe r3i3_0}-nb4S
AhnSDsv.exea@$gd3E"o
AluSchedulerSvc.exe%PW_[2Qy
AScheduleService.exe
R#S/T C RZ!Yr AST.exe
E.E&F^| avcenter.exe
9o$SL(d)FG&D avgnt.exe b6C9be2iT
avguard.exe
HK){X];w CCenter.exe
R(_{3lLVJ ccSvcHst.exe
-U3GWA:j+Kz_ FilMsg.exe
z
Y ~VC){0P5PY FrameworkService.exe
1P-c%BL,O AW{#c'd!nX KASMain.exe&f4B)o}6I7D
KAV32.exe,[-r _"wJ.Y C*s
KVIETools.exe
q.N+va [gv kvsrvxp.exe
\/{'aB+?J1I ] KWatch.exeW`yQX
mcconsol.exe
3od`#} kGT(F'l Mcshield.exe-tAKGy2S(ts
MPMain.exe
!hW8x1c.U-j MPMon.exe
!Zj e)rw
s4N MPSVC.exet4V$NR]5V,O
MPSVC1.exePhMEmQ
MPSVC2.exe8OG*Mf#^
MSProxy.ahn
,}TVmOD~p9t naPrdMgr.exe
3S rhqf"@0@ sr&Q|([ nod32krn.exe N6]+g[uK0A
nod32kui.exe2I6KQeE5N
PCCIOMON.EXE@+{
kN@&?uvqY
PCCVScan.exe
JY;u~8t0O8R PCMAIN.EXE
Nn(a/JZ3p PowerRmv.exe
7HkT]mG~5@ psview.exe
9MSsoR Rav.exe C:uY9{7H\t f^
RavMonD.exe!cs`/ijV!d1R
sched.exe
PuL%]4N7D$Y~)T sessmgr.exeJM%XQK)qV[\
shstat.exe
*O&x8T8Lv4}/Y]t { SnipeSword.exe
`2P i1Gfd`;J TRIALMSG.exegS5iq0Ra
Twister.exe
Q8Y7h(J;z i4c:s vcn.exe
?R&s#\(f'z)[f vcs.exebW?"M,Q6Pyx
vcw.exe,F4m8?7g8K
VsTskMgr.exe
x
HER#yH9xF8{5DH 劫持到%systemroot%\system32\soleboy.exeJC K'f$mXc:C
4.添加注册表启动项目HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\soleboy: "%systemroot%\system32\soleboy.exe"达到开机启动自身的目的
[^,Sn:l M*rtg#^ 5.修改com和exe文件的文件关联指向soleboy.exe}w
y?9r0K\4`
HKLM\SOFTWARE\Classes\comfile\shell\open\command\: "soleboy.exe "%1" %*"#of9l&l MA8CY4t
HKLM\SOFTWARE\Classes\exefile\shell\open\command\: "soleboy.exe "%1" %*"
I)sfS|,b&u+x HH)y 6.修改exe的图标关联 指向soleboy.exe，使得所有exe图标变成小狗图案。
k&?L6W_']%p*^x7Z HKEY_CLASSES_ROOT\exefile\DefaultIcon: "soleboy.exe"cAD%cxHZC

])c&h+],P K [img]http://bbs.kaspersky.com.cn/attachment.php?aid=29595[/img]_d/~dX7sB3x*Y
K"~B/CU&Ih4f
[img]http://bbs.kaspersky.com.cn/images/attachicons/image.gif[/img]
h2s5j9?4q;`hF [b]142c678d3e15bd03b31bbac0.jpg[/b] (90.64 KB)
3A.R x)i6Q7^uM 2008-4-3 09:29
&Qr%].hOO@ 7.查找带有如下字样的窗口，找到后利用sendmessage函数发送WM_CLOSE命令关闭窗口'RcBV
P(p8W
瑞星反病毒资讯网 [信息安全 源自瑞星] - Windows Internet ExplorerNaE8fPf@
Windows 任务管理器
l^
g
}0bZdo 注册表编辑器
,l.L3sf1s1M9N)S 江民进程查看器\ {/Y+T)f"c.\
欢迎光临江民科技[网络安全，选择江民] - Windows Internet Explorer!uhRx3s
I.m2jH
金山毒霸信息安全网－免费下载杀毒软件 - Windows Internet Explorer
aPR-Pg$u)HJi 卡巴斯基实验室: 反病毒软件,反间谍程序,垃圾邮件过滤 - Windows Internet ExplorerbF4Pa
t
360安全卫士－Windows Internet Explorer
-euh4nF} 防病毒、反间谍软件、端点安全、备份、存储和遵从解决方案－赛门铁克公司－Windows Internet Explorer
}.Iv;Z'e:eC 大型企业 - 趋势科技 中国 - Windows Internet Explorer
Ta.yju `4x8J1@ 东方微点 - Windows Internet Explorer!u1C@MRt.v$]
...7P#VPy-u@;QN
8 删除%systemroot%\system32\taskkill.exejyOAM*I*u,^7A|!O
9.作者在soleboy.txt中写道：1m"Y:`q.p5xR[0L%q
I want to go to university.
|;s#tX9m9jT I think Jiangmin Antivirus Software is the best security software!e._o7O*F&?"n0n
Don't worry ,I won't destroy your data.l&L!M MiI
解决方法：
9`\A C3J$a 下载sreng，Icesword
$ybaO8U1J7[$GH sreng:[url=http://www.skycn.com/soft/23312.html#download][color=#000000]http://www.skycn.com/soft/23312.html#download[/color][/url]
:R q;?.l"q
I F Icesword:[url=http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip][color=#000000]http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip[/color][/url]%L2m-@x(K
已经安装winrar的请打开winrar的安装路径 找到winrar.exe 把他改名为winrar.bat双击运行.wY4w{*D YZOwG
然后单击winrar菜单栏“文件”按钮 打开压缩文件
3s(rqOA#W^] D)d$_@:U:K;g5C
[img]http://bbs.kaspersky.com.cn/attachment.php?aid=29596[/img]
){E(^ gJo B o D`3AaeQ~
[img]http://bbs.kaspersky.com.cn/images/attachicons/image.gif[/img]
_!r-Q+hY]$~#G [b]07f2f3118a7bf2d7a7ef3fb1.jpg[/b] (64.26 KB)Z3hGG&T7|
lnr
2008-4-3 09:29
8s}
H\ _9Ws$c&[:U 分别解压sreng和IceswordLX8\aF#e4`aW1S"gm^
1.把Icesword.exe改名为1.bat运行FP5k6TM@ W%F
打开Icesword－进程
*aHm(au%q2Ra 结束soleboy.exe进程 _l%MV#x]3C
/@(O3o"vA"Ev
Q
[img]http://bbs.kaspersky.com.cn/attachment.php?aid=29597[/img]9St.TFe U6nZ8sh
(r k;u],{(D8{
[img]http://bbs.kaspersky.com.cn/images/attachicons/image.gif[/img]t j_Wm^N
[b]556a57a90d4f4bed1e17a2cf.jpg[/b] (131.99 KB)V^_[8C.V9h
2008-4-3 09:29 \C\!b-Si(C!t+vM
2.同样方法解压sreng\P7^x C;@
把srengps.exe改名为 2.bat运行+Q7si&`7}
启动项目 注册表
yJ/s q:x%yO$pX
X 删除如下项目
T$R N"KX(i'c s;qc)[ [HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]:p k8KC%H:e7@
sR
[Soleboy]
Z+YF.a6l6w,~;U5F 并删除所有红色的IFEO项目J#k9Plz3xF

+Y0Y7Q)n'K7dL.J$W [img]http://bbs.kaspersky.com.cn/attachment.php?aid=29598[/img]
+R0sQbu#m | Cl-V v8n!?2o!F4S e_
[img]http://bbs.kaspersky.com.cn/images/attachicons/image.gif[/img]i6WCgv1e
[b]d261311fdd5155d9a78669b8.jpg[/b] (102.16 KB)5N%l D4Y!T:Z
2008-4-3 09:29
6Z*MI7a8H N-?,WY 系统修复 文件关联 点击“修复”按钮
#h1lSN{H
Vr 3.开始 运行 输入regeditz5J@+|6@Z
展开HKEY_CLASSES_ROOT\exefile\DefaultIcon 修改该项数据为"%1" （不包括引号）

看看啊