8749流氓变种对抗清理专家，毒霸发布8749专杀工具

毒霸, 专家, 工具, 对抗

8749病毒入侵后生成的病毒程序名是随机的，不同的电脑中毒后会发现不同的病毒文件。病毒还破坏了安全模式，禁用系统还原，令你不能轻易修复系统。  S. H4 h5 F7 I8 P3 Q

上周末，流氓软件8749再次更新，新版本针对金山清理专家做了改进，导致金山清理专家运行失败，毒霸正式推出8749专杀工具以消除8749病毒的影响。* T8 D2 Y" P; U: w

新版8749流氓软件的分析报告：- X/ `& N* g% \! T9 z  f

1.保护模块$ }, N1 u( Z; X
7 V3 S# {& o9 e; S$ ^. Z: b
1.1关闭出现特定字符串的窗口
一些常见安全软件的字符串都在列表，即使用IE打开搜索页面，搜索这些字符，窗口也会被关闭。出问题的时候，用户也无法求助于搜索引擎。当前版本中，被屏蔽的字符列表包含（各版本有所差异）：9 z+ r) a- u; e' i; g. ?
360safe
Wopticlean
Kakasetup" N$ i+ [& Q6 ~
ras.exe
金山毒霸
Btbaicai" g. Z9 h) A3 j' G  K/ R& K
Wopticlean+ Q0 |; V# e- L+ ]
360safe
卡卡* q- ]( E% L' l5 G7 F! Q' b
IE修复6 a% T# e1 k, y
安全卫士
病毒
流氓% q4 M! M. n5 Z9 `
专杀% j( e3 e7 T: P  g: u
锁定浏览器
修改" j1 y2 D5 U1 z! k% L' A8 \
修复4 X: }1 O# X: U+ D7 D
清除
删除
中了百度知道2 ], S) ?' ~& V9 H/ c
2 n$ p; _1 o5 S0 ~, _/ y
1.2反金山清理专家(本版新增功能）" q2 a' f; Z" W, v1 K3 o
关闭KASMain.exe进程
清除SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce下的KASTask
( N+ E9 I/ W) l4 m! U8 s
1.3劫持HOST文件，当前版本阻止访问以下站点（各版本有所不同）：; [( V" k3 d4 s5 M1 ?9 P6 f9 A
125.91.1.20 www.37021.net& a4 v4 _4 T6 z
125.91.1.20 37021.net" r0 n% D5 g/ b8 \: f/ H- Z
125.91.1.20 5235.net
125.91.1.20 www.5235.net
125.91.1.20 www.7255.com
125.91.1.20 www.2345.com
125.91.1.20 www.9991.com
125.91.1.20 www.haol23.net: ^7 R* v3 k( i  l3 v6 ~6 {5 ~8 s- w
125.91.1.20 www.kzdh.com& X1 y; U$ q+ t: w* I0 L4 X; T+ \; _
125.91.1.20 www.qu123.com
127.0.0.1 www.duba.net（KAO，该死的病毒不让访问毒霸网站）
127.0.0.1 duba.net- `1 C& v/ Z; h! V4 z1 w5 |
127.0.0.1 bbs.360safe.com
127.0.0.1 www.okbihoo.cn
127.0.0.1 okbihoo.cn4 [- E1 t5 o4 k8 `  ^! G
. D7 b& a0 l$ e
1.4系统DLL注入QQ（病毒启动10分钟之后）8 w& q* j- ~3 [
利用LOADLIBRARY在不传入全路径的情况下会先从当前目录尝试读取DLL的特性，在系统目录复制rasadhlp.dll，通过在该DLL的输入目录中添加自己的DLL，以达到随QQ一起启动的目的。( I; q5 e' F% s) S/ h+ y3 V# Z

1.5文件占用
以CreateFile打开自己的程序文件，使文件处于被占用的状态。普通的删除将无效$ s' I6 H1 k$ q3 I
! R3 d" g9 K' b6 W/ A/ x" ?
1.6禁用XP自带的系统还原/ K; k$ B% ?& G; F; J
在SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore的DisableSR键值改成1。+ N, p3 w3 h7 {  e
% Y# P  G- u# w6 ~& w5 c$ K, i
1.7破坏安全模式
把System\CurrentControlSet\Control\SafeBoot下的所有注册表项都清空* A) j9 b/ M+ u2 U
( d' x; n2 b1 I" W
1.8全局钩子INLINE HOOK REGENUMVALUE
5字节的HOT PATCH，由于消息钩子是在窗口出现之后才把对应的DLL加载到内存中的，也就是说在多线程的环境下，该病毒有可能导致程序崩溃。该钩子的作用是隐藏自己在注册表中的启动项

1.9加密文件名，注册表启动项
其算法主要是根据本地C盘信息，根据其2进制值，对编码表的长度求余，获取编码表中对应的字符生成的。根据不同需要，生成规则略有差异。# A7 u- F7 `) o* L9 I* j

1.10改写自身程序文件时间& v* e% r- B: `: T; U
获取kernel32.dll的创建时间修改时间和访问时间，修改自身文件时间与其相一致，逃避根据文件创建时间的检查。+ x/ S/ X; ~. S, V% F# |5 _, M4 w
2 T( H4 _; i& ?
2．功能模块

2.1修改IE,将搜索主页和默认主页修改为http://www.8749.com
Software\Microsoft\Internet Explorer\Search* t" V: C- T* N; P* A7 B: u+ F
Software\Microsoft\Internet Explorer\Main; P; i% P* X. a* U
值得注意的是这里使用了慢速概念，在程序运行后的10分钟之后（Sleep函数）才实现这部分功能。和前几个版本有所不同$ G2 H& R* n# e# f9 ~# ~' @
+ k; P! x/ e) ~7 i8 c: R
2.2远程控制（一个非常危险的信号，除了劫持浏览器，被远程控制后，可以带来更严重的影响）
最基本的远程控制模块，包括一个以当前版本号，网络适配器信息和C盘的硬件信息为标记，发送数据包通知服务端在线的模块，以及能够响应服务端命令，下载并执行程序的模块。" \4 _( z* ], e  E! l8 `  E% S
9 ]- P' _- A+ b1 z1 J1 o
2.3自动更新: w& i& W* @# l0 |
当版本号与服务端不一致的时候，会自动下载最新版并覆盖原来的版本。
/ m. E  z6 A* f: Z
解决方案
1.下载新版AV终结者专杀（版本号4.4），运行禁用自动播放和保护毒霸，点击查杀病毒。; g0 `, C: _+ q8 d* }9 J
[attach]16026509[/attach]) x' I1 N4 ?+ S3 p' a
2.重启电脑后，使用清理专家2修复被病毒破坏的注册表，删除病毒添加的加载项! F0 }; T" S0 r9 }

3.右键单击我的电脑，选择属性，点击“系统还原”标签页，把禁用的勾去掉。建议至少要选择保护C分区，在系统遇到紧急故障时，利用系统还原可以减少恢复系统的成本。) a; h# [; j7 A5 @9 x
8 a; k) R% R3 a8 p

收藏分享评分

提问请注意详细描述现象、操作过程，如果是病毒报告，应说明病毒名，染毒文件路径、文件名等，什么现象都不描述只发一个日志的帖子将被直接删除。
系统还原是中毒后恢复最节约成本的好工具，新手请不要随意禁止系统还原

请新会员关注新手杀毒教程

GDGTIAN 该用户已被删除	10楼发表于 2007-7-27 13:11 \| 只看该作者不知能不能用提示: 作者被禁止或删除内容自动屏蔽杀毒软件打不开，安全模式蓝屏，没完没了弹广告，用急救箱轻松搞定
	回复引用 TOP

8749流氓变种对抗清理专家，毒霸发布8749专杀工具

不知能不能用