看来有些中国特色啊,刚刚狗狗咬来的:

来源: 8X8 于 2008-09-29 20:33:02 [] [博客] [旧帖] [给我悄悄话] 阅读数 : (1568 bytes)

Winxp.dll,psapi.dll,Win32.Troj.KillAVT.ah.119784
2008-09-23 来源:金山

Win32.Troj.KillAVT.ah.119784是个广告木马程序。病毒作者在对抗安全软件方面，参考AV终结者的一些行为。如成功入侵系统，它就会弹出许多的广告窗口，严重干扰用户的正常使用。

病毒运行后先释放下列两个文件：
C:\WINDOWS\Winxp.dll
C:\WINDOWS\system32\drivers\winsawids.sys

然后Winxp.dll再释放下面的文件：
C:\WINDOWS\system32\psapi.dll

psapi.dll还会生成一个profile.out的文件。

创建系统服务启动sys文件:

Key: "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management"
ImagePath: "\??\C:\WINDOWS\system32\drivers\winsawids.sys"
DisplayName: "Windows Management Instrumentations"
ObjectName: "LocalSystem"

由Winxp.dll再启动psapi.dll

Winxp.dll会遍历系统进程信息查找下列杀毒软件，找到的话调用TerminateProcess结束掉：
ravmond.exe
ravmon.exe
ravstub.exe
ravtask.exe
rsagent.exe
rstray.exe
ras.exe
ccenter.exe
kwatch.exe
kpfwsvc.exe
kpfw32.exe
kmailmon.exe
kissvc.exe
kavstart.exe
然后，再使用TaskKill加上下面的字串的方式结束杀软
/f /im kmailmon.exe
/f /im kpfwsvc.exe
/f /im ccenter.exe
/f /im ravmond.exe
/f /im ravstub.exe

winsawids.sys的功能为恢复SSDT过杀毒软件，另外提供了2个IoControlCode：2220C0h和22E14Bh供dll文件使用，来HookSSDT中的函数，隐藏自身文件。

psapi.dll的会创建名为profile.out的配置文件，修改用户系统设置

推荐安装金山毒霸正版的杀毒软件进行全面监控，防范Winxp.dll,psapi.dll,Win32.Troj.KillAVT.ah.119784病毒

所有跟帖： 

请您先登陆，再发跟帖！