“磁碟机”病毒特性分析
最近一个叫“磁碟机”得病毒再网上肆虐,很多用户受害,而且下载又出现不少变种,下面我们就来讲讲“磁碟机”病毒.对“磁碟机”病毒特性进行下总结,炉体如下：
病毒名称：Win32/Kdcyy.cn
中 文 名：“磁碟机”变种cn
病毒长度：94208字节
病毒类型：蠕虫
危险级别：★★★★
影响平台：Win 9X/ME/NT/2000/XP/2003
病毒描述：
Win32/Kdcyy.cn“磁碟机”变种cn是蠕虫家族的最新成员之一,采用VC++ 6.0编写, 并经过加壳保护处理.
“磁碟机”变种cn运行后,在被感染计算机系统中生成如下文件:
系统盘根目录下:\NetApi000.sys (4,096 字节)
系统盘根目录下:\037589.log（随机名）(94,208 字节)
系统盘根目录下:\lsass.exe.1771547.exe（随机名）(94,208 字节)
%SystemRoot%\system32\Com\netcfg.000 (16,384 字节)
%SystemRoot%\system32\Com\netcfg.dll (16,384 字节)
%SystemRoot%\system32\Com\lsass.exe (94,208 字节)
%SystemRoot%\system32\Com\smss.exe (40,960 字节)
%SystemRoot%\system32\7878251.log（随机名）(94,208 字节)
%SystemRoot%\system32\dnsq.dll (32,256 字节)
所有盘符下生产：pagefile.pif (94,208 字节)
所有盘符下生产：AUTORUN.INF (172 字节)
“磁碟机”变种cn运行时,功能如下：
1：病毒会利用驱动程序来恢复SSDT Hook,使部分安全软件的监控失效.
2：病毒会强行关闭目前几乎所以安全工具软件,病毒会强行关闭目前几乎所以杀毒软件(金山毒霸2008可以抵御该病毒).
3：该病毒是利用“ARP病毒”在局域网中进行自我传播：传播方式：感染了“ARP病毒”的局域网中,除了系统静态绑定MAC地址的计算机,其他系统所下载的所有正常EXE程序文件都是“磁碟机”变种(是名称为“setup.exe”的RAR自解压安装包,运行后就会在用户系统中安装“磁碟机”变种）.
4：发现带有符合安全工具软件相关的窗口名存在,就会强行将其关闭.
5：忽略系统盘,然后感染其他盘符的EXE文件、网页文件、RAR和ZIP压缩包中的文件等(加密感染),感染过的程序变为16位的图标.
6：在所有盘符下生成“autorun.inf”和病毒程序文件体“pagefile.pif”,并且会事实检测保护这些文件.会利用移动设备进行自我传播.
7：在中该病毒的计算机系统中,什么软件都不运行,CPU占用率还会在50%以上.如果再运行些其他程序软件,UPC占用率就会接近100%,被感染计算机系统会经常死机或长时间的卡住不动.
8：破坏注册表,使用户无法进入“安全模式”.破坏注册表,使用户无法查看“隐藏的系统文件”.破坏注册表,使用户注册表启动项失效(部分通过注册表启动项开机运行的安全软件就无法开机启动运行了).修改注册表,实现开启自动播放的功能.防止病毒体被重定向,删除注册表中的IFEO进程映像劫持项.删除组策略限制的注册表项.
9：搜索注册表,直接强行删除所有安全软件的关联注册表项,使其无法开启监控.
10：利用进程守护技术,将病毒的“lsass.exe”、“smss.exe”进程主体和DLL组件进行关联,实现进程守护.发现病毒文件被删除或被关闭,会马上生成重新运行.
12：病毒程序以系统级权限运行,部分进程使用了进程保护技术.
13：DLL组件会插入到系统中几乎所以的进程中加载运行(包括系统级权限的进程).
14：病毒利用了关机回写技术,在关闭计算机时把病毒主程序体保存到[启动]文件夹中,实现开机自启动.系统启动后再将[启动]文件夹中病毒主体删除掉.这样可以隐蔽启动,而不被用户发展.
15：可以绕过部分主动防御程序“Hips”的监控.
16：病毒有自动升级功能,它有自己的升级服务器,并且在下载量这个大的情况下还可以下载速度急快(可见服务器是光纤接入).并且病毒每周都会升级2-3次,变种很快、很猛烈.
17：该病毒是反向连接木马下载器,下载列表配置文件在骇客的远程服务器上,骇客可以随时更新不同的病毒变种下载到被感染计算机中安装运行.而且会下载20种以上的木马病毒程序,其中包括有网络游戏盗号木马和ARP病毒等.
18：会利用控制台命令来设置病毒程序文件的访问运行权限.
19：以独占的方式访问系统“boot.ini”和“hosts”配置文件.防止DOS级删除病毒体和用hosts文件来屏蔽病毒的恶意网站域名地址.
22：利用“ping”命令在后台检测当前计算机网络是否连通,如果连通则利用系统“IE浏览器”进程在后台与骇客服务器进程通信.
下载金山毒霸2008可以进行专杀！下载地址：www.kingsoft2008.net.cn
专家预防建议:
1.建立良好的安全习惯,不打开可疑邮件和可疑网站.
2.不要随意接收聊天工具上传送的文件以及打开发过来的网站链接.
3.使用移动介质时最好使用鼠标右键打开使用,必要时先要进行扫描.
4.现在有很多利用系统漏洞传播的病毒,所以给系统打全补丁也很关键.
5.安装专业的防毒软件升级到最新版本,并开启实时监控功能.
6.为本机管理员帐号设置较为复杂的密码,预防病毒通过密码猜测进行传播,最好是数字与字母组合的密码.
7.不要从不可靠的渠道下载软件,因为这些软件很可能是带有病毒的.
更多资讯请登陆金山毒霸官方网站查询：www.kingsoft2008.net.cn
专杀下载
