一个比较难杀的木马下载器 kndncso.exe jvxnypf.exe cmdbcs.exe lRAVWL.EXE

最新推荐文章于 2021-05-31 00:01:19 发布

飘的梦

最新推荐文章于 2021-05-31 00:01:19 发布

阅读量2.8k

点赞数

分类专栏：电脑病毒文章标签： microsoft c opera dll

电脑病毒专栏收录该内容

34 篇文章

订阅专栏

本文介绍了一种顽固木马下载器的特点及其清除步骤。该木马通过移动存储介质传播，采用多种手段保护自身，包括守护进程、DLL注入等。清除过程中需使用IceSword等工具按特定顺序操作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

这是一个比较难杀的木马下载器。可通过移动存贮介质传播。
作者：baohe

来源于：http://forum.ikaka.com/topic.asp?board=28&artid=8310697
一、中毒后的SRENG日志：
（注：中此毒后，SRENG须改名运行。原因见后述。）

启动项目
注册表

[HKEY_LOCAL_MACHINE/Software/Microsoft/Windows/CurrentVersion/Run]
<naxcehy><C:/windows/system32/kndncso.exe> [N/A]
<gvkfbrq><C:/windows/system32/jvxnypf.exe> [N/A]
<cmdbcs><C:/windows/cmdbcs.exe> [N/A]
<mppds><C:/windows/mppds.exe> [N/A]
<upxdnd><C:/windows/upxdnd.exe> [N/A]
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/ShellExecuteHooks]
<{91B1E846-2BEF-4345-8848-7699C7C9935F}><C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll> [N/A]
==================================
服务
[WinWLServiceNow / WinWLServiceNow][Stopped/Auto Start]
<C:/DOCUME~1/baohelin/LOCALS~1/Temp/RAVWL.EXE><N/A>
==================================
正在运行的进程
[PID: 812][C:/windows/system32/lsass.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:/windows/system32/RAVWL516.dll] [N/A, N/A]
[PID: 1816][C:/windows/Explorer.EXE] [Microsoft Corporation, 6.00.2900.2180 (xpsp_sp2_rtm.040803-2158)]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 992][C:/windows/system32/ctfmon.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2148][C:/Program Files/Tiny Firewall Pro/amon.exe] [Computer Associates International, Inc., 6.5.3.2]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 4000][C:/WINDOWS/system32/shadow/ShadowTip.exe] [PowerShadow, 1, 0, 0, 1]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2164][C:/Program Files/SREng2/SREng.exe] [Smallfrogs Studio, 2.3.13.690]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2216][C:/Program Files/Opera/Opera.exe] [Opera Software, 8771]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2904][C:/Program Files/Tiny Firewall Pro/cfgtool.exe] [Computer Associates International, Inc., 6.0.0.52]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2580][C:/Program Files/Tiny Firewall Pro/tralogan.exe] [Computer Associates International, Inc., 6.0.0.17]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 3112][C:/windows/system32/jvxnypf.exe] [N/A, N/A]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2392][C:/windows/system32/conime.exe] [Microsoft Corporation, 5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 4020][C:/windows/system32/kndncso.exe] [N/A, N/A]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2740][C:/Autoruns/autorun.exe] [Sysinternals - www.sysinternals.com, 8.43]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 3208][C:/Program Files/HyperSnap-DX 5/HprSnap5.exe] [Hyperionics Technology LLC, 5, 3, 0, 0]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
[PID: 2168][C:/windows/system32/111.exe] [N/A, N/A]
[C:/Program Files/Common Files/Microsoft Shared/MSINFO/SysWFGQQ2.dll] [N/A, N/A]
==================================
Autorun.inf
[D:/]
[AutoRun]
open=gvkfbrq.exe
shellexecute=gvkfbrq.exe
shell/Auto/command=gvkfbrq.exe

二、手工杀毒流程（注意操作顺序）：

从上述SRENG日志可见：jvxnypf.exe和kndncso.exe以及它们下载的这堆木马颇难对付。原因在于：
1、jvxnypf.exe和kndncso.exe两个病毒进程相互守护。
2、临时文件夹中的那个C:/DOCUME~1/baohelin/LOCALS~1/Temp/RAVWL.EXE有一个同伙RAVWL516.DLL。此DLL插入了lsass.exe进程。若强制卸除lsass.exe进程中的RAVWL516.DLL，系统会死掉。下次开机时，随着RAVWL.EXE加载，RAVWL516.DLL又插入了lsass.exe进程。
3、病毒模块SysWFGQQ2.dll“不挑食”，见进程就插。
4、当前用户文件夹中还有一堆下载的木马。手工杀毒过程稍有不甚，就会前功尽弃。

鉴于这堆病毒的上述特点，建议用IceSword，按下述操作顺序搞掂他们：

1、改名运行IceSword（因为IceSword已经被病毒通过IFEO劫持了），禁止进程创建。
2、结束病毒进程及被病毒插入的应用程序进程（不要结束lsass.exe进程）。
3、强制删除主要病毒文件（图1－图4）。
4、删除病毒添加的启动项、服务项（见SRENG日志）。
4、取消IceSword的“禁止进程创建”。
5、此时可用资源管理器或WINRAR删除其余的病毒文件（图5）。当然，你也可以用IceSword删除这些病毒文件。我之所以这样做，是出于安全考虑。IceSword删除的文件不能恢复，万一删错，就麻烦了。我的原则是：能不用IceSword删除的，尽量不用IceSword删除。
6、删除病毒添加的IFEO劫持项（可用autoruns查找并删除。注意：autoruns也被病毒IFEO了，需要改名运行。）

图1

图2

图3

图4

图5