史萊姆論壇

史萊姆論壇 (http://forum.slime.com.tw/)
-   一般電腦疑難討論區 (http://forum.slime.com.tw/f17.html)
-   -   好像是蠻新的病毒: mhdoor0.dll (http://forum.slime.com.tw/thread216631.html)

senchiyo 2007-09-20 11:28 AM

好像是蠻新的病毒: mhdoor0.dll
 
最近發現一種病毒,叫mhdoor0.dll,我已經發現了幾種變種,名稱不一定一樣,但變來變去差不多都會有door這個字,不曉得有沒有人中過? 感覺以前沒見過,手法也蠻有趣的。

順便提供解毒方法:

引用:

木马 mhdoor0.dll 解决方案
作者:海色の月   文章出处:C.I.S.R.T.

病毒名称:Trojan-PSW.Win32.OnLineGames.aci [exe](Kaspersky)
病毒别名:Trojan.PSW.Win32.WsGame.y [exe](瑞星), Trojan.PSW.Win32.WSgame.x [dll](瑞星)
病毒大小:8,456 字节
加壳方式:UPack
样本MD5:88d5464cfbbedb469b4ede457c9eae78
样本SHA1:8704d8dbf05aba9fdbb4de73a3bc157368b6616c
发现时间:2007.8
更新时间:2007.8.10
关联病毒:
传播方式:恶意网页、其它木马下载

技术分析
==========

网游木马,运行后释放dll到系统目录:
%System%\mhdoor0.dll

创建ShellExecuteHooks启动项:


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3422FB0F-95EB-458A-8B56-39552017A4EF}"="hook mh"

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-95EB-458A-8B56-39552017A4EF}\InprocServer32]
@="%System%\mhdoor0.dll"
约每半秒重写以上启动信息。

设置注册表信息:

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-458A-8B56-95EB-39552017A4EF}]
"daExeModuleName"="{原文件}"
"daDllModuleName"="%System%\mhdoor0.dll"
"daSobjEventName"="YUTDFGHKHCOOLMH_0"
清除步骤
==========

到down.45it.com下载sreng2.zip(作为备用)和IceSword120_cn.zip(以下简称冰刃)

1. 重命名木马文件(自定义文件名即可):
%System%\mhdoor0.dll

2. 重新启动计算机

3. 删除重命名过的木马文件(打开冰刃-文件-依次找到病毒文件删除即可):
%System%\mhdoor0.dll

4. 删除木马创建的ShellExecuteHooks启动项和相关信息(打开冰刃-注册表-依次找到病毒注册表选项删除即可):


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{3422FB0F-95EB-458A-8B56-39552017A4EF}"

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-95EB-458A-8B56-39552017A4EF}]

[HKEY_CLASSES_ROOT\CLSID\{3422FB0F-458A-8B56-95EB-39552017A4EF}]


senchiyo 2007-09-20 12:39 PM

有興趣的可以再看這一篇: http://www.kpfans.com/bbs/viewthread...&extra=&page=1
好像卡巴抓得到但擋不住的樣子。


所有時間均為台北時間。現在的時間是 02:10 AM

Powered by vBulletin® 版本 3.6.8
版權所有 ©2000 - 2025, Jelsoft Enterprises Ltd.

『服務條款』

* 有問題不知道該怎麼解決嗎?請聯絡本站的系統管理員 *


SEO by vBSEO 3.6.1