新版“机器狗”病毒详细分析资料

最新推荐文章于 2021-02-13 18:54:54 发布

iiprogram

最新推荐文章于 2021-02-13 18:54:54 发布

阅读量2.8k

点赞数

分类专栏：病毒汇编和调试逆向技术加脱壳文章标签：磁盘 vc++ 汇编工作网络游戏网络

本文链接：https://blog.youkuaiyun.com/iiprogram/article/details/2060534

版权

本文详细分析了新版“机器狗”病毒与老版本的区别，包括编写语言、加壳技术、文件大小、感染目标及处理方式等方面。新版本病毒针对“conime.exe”、“ctfmon.exe”和“explorer.exe”，而老版本针对“userinit.exe”。文章纠正了网络上关于病毒行为的误解，并提供了手动杀毒步骤，包括结束病毒进程、恢复系统文件、卸载恶意驱动等。最后强调，尽管有“还原保护程序”，个人用户的计算机仍会受到影响。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

报告名称：新版“机器狗”病毒详细分析资料(全部资料的一少部分)
报告类型：病毒原理逆向反汇编分析播报
编写作者：Coderui
编写日期：2008年01月15日
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
------------------------------------------------------------------------
对比“机器狗”一类新、老版本病毒的特征：

1：新版本“机器狗”病毒采用VC++ 6.0编写，老版本“机器狗”病毒采用汇编编写。
2：新版本“机器狗”病毒采用UPX加壳，老版本“机器狗”病毒采用未知壳。
3：新版本“机器狗”病毒驱动文件很小(1,536 字节)，老版本“机器狗”病毒驱动文件很大(6,768 字节)。
4：新版本“机器狗”病毒安装驱动后没有执行卸载删除操作，老版本“机器狗”病毒安装驱动工作完毕后会卸载删除。
5：新版本“机器狗”病毒针对的是系统“conime.exe”、“ctfmon.exe”和“explorer.exe”程序文件，老版本“机器狗”病毒只针对系统“userinit.exe”文件。
6：新版本“机器狗”病毒没有对注册表进行操作，老版本“机器狗”病毒有对注册表“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon”项进行操作(感觉该操作没必要，因为重新启动系统后，“还原保护程序”系统会将其还原掉)。
7：新版本“机器狗”病毒去到系统dllcache文件夹下调用真实系统文件运行，老版本“机器狗”病毒没有到系统dllcache文件夹下调用真实系统文件运行。
8：新版本“机器狗”病毒采用的是控制台程序图标，老版本“机器狗”病毒采用的是黑色机器小狗图案的图标。

大概列举出来了上边的几点，经过仔细分析它们的工作原理和编码风格后，可以推测