在线视频 亚洲_激情网页_欧美国产高清_五月综合激情网_国产精品久久久久久久久免费高清_九九精品视频在线观看

生成如下文件：
C:\WINDOWS\system32\1.inf
C:\WINDOWS\system32\chostbl.exe
C:\WINDOWS\system32\lovesbl.dll
在每個(gè)分區(qū)下面創(chuàng)建autorun.inf和sbl.exe
并不斷檢測(cè)chostbl.exe的屬性是否為隱藏

注冊(cè)服務(wù)AnHao_VIP_CAHW 指向C:\WINDOWS\system32\chostbl.exe
達(dá)到開(kāi)機(jī)啟動(dòng)的目的
啟動(dòng)類型：自動(dòng)
顯示名稱：A GooD DownLoad CAHW

調(diào)用TerminateProcess函數(shù)關(guān)閉如下進(jìn)程
360safe.exe
360tray.exe
runiep.exe
avp.exe

調(diào)用GetWindowsTextA函數(shù) 獲得當(dāng)前窗口標(biāo)題
并調(diào)用PostMessageA函數(shù)試圖發(fā)送WM_CLOSE,WM_DESTROY,WM_QUIT指令關(guān)閉帶有如下字樣的窗口
卡卡
江民
金山
任務(wù)管理器
木馬清道夫
木馬克星
超級(jí)巡警
NOD32核心
安全
安全衛(wèi)士
木馬殺客
NOD32
內(nèi)核
OD
微點(diǎn)

調(diào)用FindWindowA函數(shù)查找如下窗口 并試圖調(diào)用PostMessageA函數(shù)向其發(fā)送WM_CLOSE指令 關(guān)閉窗口
AVP.AlertDialog
AVP.Product_Notification
AVP.Product_Noti

調(diào)用cmd.exe 執(zhí)行net stop sharedaccess命令 關(guān)閉Windows自帶的防火墻服務(wù)

C:\WINDOWS\system32\lovesbl.dll插入svchost.exe進(jìn)程
利用svchost.exe執(zhí)行下載木馬操作
下載（ip地址為遼寧大連網(wǎng)通）
到C:\Documents and Settings下面 并分別命名為servciesa.exe~servciesc.exe
下載間隔200ms

測(cè)試中（servciesc.exe）鏈接已失效

servciesa.exe為一感染下載者
下載但下載鏈接已失效
感染除以下文件夾下的exe文件
WINDOWS
WINNT
RECYCLE
System Volume Information
Internet Explorer
Outlook Express
NetMeeting
Common Files
Messenger
Windows Media Player
WinRAR
MSOCache
Documents and Settings
被感染文件被加入593字節(jié)的內(nèi)容 圖表不變 感染方式還得請(qǐng)高手來(lái)指教...

servciesb.exe
注冊(cè)服務(wù)WindowsRemote
啟動(dòng)類型：自動(dòng)
顯示名稱：Windows Accounts Driver
也是一個(gè)木馬下載者 但下載鏈接失效

病毒全部動(dòng)作完畢以后，sreng日志如下：
服務(wù)
[A GooD DownLoad CAHW / AnHao_VIP_CAHW][Running/Auto Start]

[Windows Accounts Driver / WindowsRemote][Stopped/Auto Start]

==================================
Autorun.inf
[C:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
[D:\]
[autorun]
OPEN=sbl.exe
shellexecute=sbl.exe
shell\Auto\command=sbl.exe
shell=open
...
解決方法：

下載sreng

解壓后運(yùn)行srengps.exe

“啟動(dòng)項(xiàng)目”-“服務(wù)”- Win32服務(wù)應(yīng)用程序”中點(diǎn) ldquo;隱藏經(jīng)認(rèn)證的微軟項(xiàng)目”，
選中以下項(xiàng)目，點(diǎn)ldquo;刪除服務(wù)”，再點(diǎn)“設(shè)置”，在彈出的框中點(diǎn)“否”：
A GooD DownLoad CAHW / AnHao_VIP_CAHW
Windows Accounts Driver / WindowsRemote

重啟計(jì)算機(jī)

雙擊我的電腦，工具，文件夾選項(xiàng)，查看，單擊選取"顯示隱藏文件或文件夾" 并清除"隱藏受保護(hù)的操作系統(tǒng)文件（推薦）"前面的鉤。在提示

確定更改時(shí)，單擊“是” 然后確定
點(diǎn)擊 菜單欄下方的 文件夾按鈕（搜索右邊的按鈕）

刪除如下文件
C:\WINDOWS\system32\chostbl.exe
C:\sbl.exe
C:\autorun.inf
C:\WINDOWS\system32\servciesa.exe~servciesc.exe（如果有的話）在左邊的資源管理器中單擊其他盤（千萬(wàn)不要雙擊打開(kāi)）
刪除sbl.exe autorun.inf