【02-06】 遭遇最新熊猫变种！手动查杀全过程

维兰

感谢 华夏黑客联盟  ℃冰河℃ 斑竹提供的 熊猫烧香最新变种病毒样本(出现时间 07/01/26),
样本地址:http://www.hxhack.com/bbs/read.php?tid=12568
                 或者:最新熊猫烧香变种病毒gYAef.exe
                  
变种病毒名称:gYAef.exe
发现日期: 07/01/26
由于刚得到样本,来不及做脱壳分析,主要把病毒发作症状和手工杀毒方法原本的写出来,以供参考!
========================================================================================
虚拟机上测试:
打开样本gYAef.exe后,症状很明显,所有感染熊猫烧香的特征都包括在内:
即不能打开任务管理器,注册表,超级兔子,冰刃,WINDOWS优化大师;
不过一会儿防火墙关闭,杀软关闭.
下面是截图:


运行后的初步症状如下:




此时机器会很卡,因为后台病毒在下载木马流氓软件,并安装他们:
看这里,安装了一大堆流氓软件,看着就气.....

然后病毒在后台扫描局域网里的其他电脑,我主机上的防火墙记录下来了客户机的情况:

CMD中运行  netstat -an 即可看到病毒开放了很多端口对外扫描,我就不做截图了...
比较震撼的是这个病毒让机器在重启后蓝屏,如下 :

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
运行--cmd--tasklist  后就可以看到多了很多陌生的进程了:

仔细看看,病毒进程有 5 个,不包括病毒后台运行的IEXPLORE.EXE...恐怖吧,明摆着欺负人....
运行 taskkill /f /im 进程名  来强行结束比进程(当然也可以用 ntsd -c q -p PID 来实现,我是为了大家把5个病毒进程看的更清楚,所以都用进程名表示的....)
效果如下:


这时候不可动任何.exe文件,运行任务管理器被禁止了...

到CMD中输入 regedit 打开注册表,解决任务管理器被禁止的问题(这个就很简单了...菜鸟都会了吧...)

或者直接导入注册表:
[Copy to clipboard]CODE:
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000000
此时最好把任务管理器一直打开着,以后就不要再动它了,因为关掉再开的话可能又会激活病毒,
注册表也是一样,运行一次就一直保留着....
要删除病毒文件,当然要查看隐藏的东西了,病毒还是改了的...意料之中....:

或者直接导入注册表:
[Copy to clipboard]CODE:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL]
"CheckedValue"=dword:00000001
----------------------------------------------------------------------------------------------------------------------------------------------------------------------------
接着,根据进程名称 和注册表中的相关启动项的位置 查找 病毒文件( win+F)
此病毒文件比熊猫烧香的东东多多了，看了你就知道了:



病毒在 C:\WINDOWS下 和  C:\WINDOWS\SYSTEM32下 和 C:\WINDOWS\SYSTEM32\drivers下都有文件,很多....




作者还蛮有意思的, kelnels.exe本来是WINDOWS2000的核心进程的,作者加了个 88.大概是让他完蛋吧,哈哈...
下面的就是此变种病毒的主文件所在地,和熊猫烧香的窝儿是在一个地方哦!!!

以上的文件都删除掉,大部分都能直接删除,有1到2个文件删除不掉，因为它是插入到系统进程中的,下面介绍方法":
不着急,先看看在注册表的另外2个地方是不是还有它的启动相关:
①
[Copy to clipboard]CODE:
Windows Registry Editor Version 5.00
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders]
如图:

②
[Copy to clipboard]CODE:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
如图:

这里就出现病毒项目了:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon下的UERINIT，
Ｃ：\WINDOWS\SYSTEM32\USERINIT.EXE,  c:\windows\gyaef11111.exe,rundll32.exe...
删掉!
确保没有异常后退出注册表
其他地方没有发现病毒修改的痕迹...
查看.exe文件关联是正常的,.txt文件关联也同样正常...
HKCU\...\RUN下有一个病毒启动项,删除即可....
这时就出现上面所说的情况了,部分文件删不掉
(别用第三放删除工具,病毒会让它失效.我的UNLOCK就被它弄没了....)

剩下的 3个文件死活删不掉:
2个删不了,一个删了马上恢复:

这时候用到下面的内容:

文件替换来搞定它：

对于结束系统进程也删不掉的文件，还可以这样：
对病毒文件重命名，建立和病毒同名文件，并加上系统属性：

[Copy to clipboard]CODE:
@echo off
taskkill /f /im explorer.exe
explorer.exe
exit
但对于这个ＤＬＬ文件还一直没搞明白：　cyptimg.exe 或者 cyptig.dll(病毒可能2个都生成,可能只生成一个,因为我做了2次实验,文件有变化...)


建立同名文件后的效果:

防止病毒运行时候更改,也就到达目的了...
=====================================================================================
接下来是重新启动,这时候可以打开任务管理器,其中也没有病毒进程!

主要就是修复被感染的.exe文件了,
其实现在就可以结束了,因为病毒发挥不了作用.你运行程序时候病毒自己脱壳,不能更改C:\WINDOWS\SYSTEM32\DRIVERS下的同名病毒文件,所以病毒就消失了,同时还原原来的.exe程序


不过对于修复.exe文件,可以用上现在的专杀工具了....
如果想彻底赶走病毒的残留,你就要花时间把你的所有可执行文件都运行一遍,让病毒脱壳释放出来,
然后再删除你建立的通明病毒文件...
个人觉得留着这些同名文件还可以起到预防作用.....
效果显著 ...
PS: 昨天晚上由于快停电了，所以有点忘了说：
　　该变种会在每个exe文件下生成　desktop_.ini,内容为感染日期
        这个我忘了截图,直接用 del /desktop_.ini /F/S/A/Q 即可完全清除!
======================================================================================
好了,至此杀毒彻底完成!!!!
帖图也够累的,弄了我3个多小时!
这仅仅是本人的一点杀毒经验,高手见笑了....

迷彩

s:20 s:20 s:20 我就是中了熊猫烧香
55555555555555555555今天刚装了系统
就是那个UUSEE网络电视
我靠,每天自动下载安装N个```
气死我咯!!!!!s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23

matchmake

深度同情中s:13

ＪＯＫＹ

我好怕 好复杂的超做啊

维兰

原帖由 迷彩 于 2007-2-6 19:04 发表
s:20 s:20 s:20 我就是中了熊猫烧香
55555555555555555555今天刚装了系统
就是那个UUSEE网络电视
我靠,每天自动下载安装N个```
气死我咯!!!!!s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23 s:23

s:17 s:17 其实现在有专杀了，没这么麻烦。。。。。

woaixianxian

这病毒真烦人...........

520zippo

s:17 ，还真详细啊。~！