upside
 
   
  
 反病毒 反詐騙 反虐犬
|
分享:
▼
x1
|
超級AV終結者”（Win32.TrojDownloader.NsPassT.bm.50688）
進入2008年的最後一個月，病毒作者的活動越發猖獗。Win32.TrojDownloader.NsPassT.bm.50688。該下載器結合了AV終結者、機器狗、掃蕩波、autorun病毒的衆多特點，行爲及其惡劣。它主要是利用MS08067漏洞在局域網內傳播，對抗安全軟件，下載大量的木馬。由於帶有穿透功能，對網吧和局域網用戶影響很大。
此病毒非常狡猾，它在進入係統後，不會立即運行，而是查找係統中是否存在OllyICE.exe、OllyDbg.exe、ImportREC.exe、C32Asm.exe、LordPE.exe、PEditor.exe等反病毒工作人員經常使用的工具，如果存在，就會立刻關閉自己、退出運行。很明顯，它想刻意逃避反病毒工程師的分析。
而該毒的危害性主要體現在它強大的對抗能力。由於同時綜合了AV終結者、機器狗、掃蕩波的特點，從未有任何病毒的對抗能力像此毒一樣凶猛。它在進入係統後，首先會恢複係統SSDT表，一旦SSDT表被恢複，就意味著該毒可以穿透任何一款係統還原軟件的防線。
同時，它按照自帶的一份“黑名單”搜索安全軟件，只要發現用戶安裝得有安全軟件，就調將其關閉。檢查它的“黑名單”後發現，這份名單非常龐大，幾乎所有網上能搜索到的安全軟件，都是該毒的關閉目標。
事情還沒完，如果僅僅是關閉，那麽用戶還可以重新啓動這些安全軟件。病毒作者當然不會允許這種事情發生，他給病毒設置了映像劫持功能，劫持這些安全軟件的進程。如果用戶試圖啓動它們，唯一的結果就是把病毒再激活一次而已。而爲阻止用戶向安全軟件廠商求助，病毒會屏蔽許多安全軟件的官網。
當解決了“礙事”的安全軟件，病毒才放心大膽的讀取用戶MAC地址，並解密自己的配置文件，獲取下載列表，下載大量的盜號木馬到用戶電腦中運行——這才是它的最終目的。
該毒在成功占領一台電腦後，就開始對局域網內的其它電腦實施攻擊。它搜索局域網中所有存在MS08067漏洞的電腦，利用漏洞將自己發送到這些電腦上。同時，對所有的電腦展開ARP攻擊，劫持用戶所浏覽網頁上的鏈接，如果用戶點擊鏈接，就會被引導到病毒作者安排好的廣告網址，或者下載包括該毒在內的一些惡意程序。爲確保攻擊成功，該毒還會釋放出一個掃蕩波病毒，協助自己進行攻擊。
必須提及的是，該毒的ARP攻擊頻率達到令人驚訝的地步，在測試中，該毒對局域網的ARP攻擊竟然高達每分鍾1萬次以上，在三分鍾不到的時間裏，就能阻塞由數百台電腦組成的局域網。當攻擊達到最高峰時，電腦甚至連病毒作者自己指定的網址也無法訪問，這種現象可謂是瘋狂至極。
僅僅在局域網中傳播，病毒作者並不滿足。爲實現更大範圍的傳播，該毒在執行上述破壞過程時，還會遍曆驅動器，在非a:\和b:\的磁盤分區的根目錄下創建AUTO文件autorun.inf和system.dll。一旦用戶在中毒電腦上使用U盤等移動存儲設備，病毒就會自動將其傳染。當在U盤插入另一台電腦時，它又會將該電腦傳染，這樣就實現了自動傳播。
|
