新版“机器狗”病毒详细分析资料

最新推荐文章于 2025-02-26 20:38:37 发布

原创

最新推荐文章于 2025-02-26 20:38:37 发布 · 2.8k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#磁盘 #vc++ #汇编 #工作 #网络游戏 #网络

本文详细分析了新版“机器狗”病毒与老版本的区别，包括编写语言、加壳技术、文件大小、感染目标及处理方式等方面。新版本病毒针对“conime.exe”、“ctfmon.exe”和“explorer.exe”，而老版本针对“userinit.exe”。文章纠正了网络上关于病毒行为的误解，并提供了手动杀毒步骤，包括结束病毒进程、恢复系统文件、卸载恶意驱动等。最后强调，尽管有“还原保护程序”，个人用户的计算机仍会受到影响。

报告名称：新版“机器狗”病毒详细分析资料(全部资料的一少部分)
报告类型：病毒原理逆向反汇编分析播报
编写作者：Coderui
编写日期：2008年01月15日
>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
------------------------------------------------------------------------
对比“机器狗”一类新、老版本病毒的特征：

1：新版本“机器狗”病毒采用VC++ 6.0编写，老版本“机器狗”病毒采用汇编编写。
2：新版本“机器狗”病毒采用UPX加壳，老版本“机器狗”病毒采用未知壳。
3：新版本“机器狗”病毒驱动文件很小(1,536 字节)，老版本“机器狗”病毒驱动文件很大(6,768 字节)。
4：新版本“机器狗”病毒安装驱动后没有执行卸载删除操作，老版本“机器狗”病毒安装驱动工作完毕后会卸载删除。
5：新版本“机器狗”病毒针对的是系统“conime.exe”、“ctfmon.exe”和“explorer.exe”程序文件，老版本“机器狗”病毒只针对系统“userinit.exe”文件。
6：新版本“机器狗”病毒没有对注册表进行操作，老版本“机器狗”病毒有对注册表“HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/Winlogon”项进行操作(感觉该操作没必要，因为重新启动系统后，“还原保护程序”系统会将其还原掉)。
7：新版本“机器狗”病毒去到系统dllcache文件夹下调用真实系统文件运行，