本帖最后由 sailyang 于 2021-2-20 14:16 编辑
有台不联网的主机发现有病毒。
1、行动轨迹:[并行操作,不分先后]
一是:其在C:\ProgramData\Synaptics创建原始病毒文件夹,内含“WS”子文件夹[为空]和“Synaptics.exe”文件[大小:754KB]。
二是:其在C:\用户\***\AppData\Local\Temp中,释放文件“qk3296d7.exe”[大小:753KB,CRC32:7EB2AB4D]
2、上述二项特点:
①此程序图标显示为运行第一次感染的可执行程序,并使用其感染程序图标,其后随着使用者运行感染程序而改变;
②可执行程序被感染后,右键属性后发现“描述”内容被改变为:“Synaptics Pointing Device Driver”[被感染的文件属性改变相同,大小增大,且创建文件时间改变];
③被感染文件首次执行时会在同文件夹内新产生一个和感染文件同名且前缀为:“._cache_”的病毒文件[此文件隐藏];
④系统被感染后,对任何插入的U盘,都会被病毒搜索到,并立即采取遍历可执行文件的方式感染。[成为新的感染源,使用者在不知不觉中,只要在其它电脑上运行U说服力中的程序,就会感染其它电脑。]
⑤病毒只感染可执行文件,和网银相关的文件[目的明确],无法感染压缩文件。
⑥病毒首次在硬盘或U盘被触发传染时,硬盘灯或U盘指示灯会狂闪[说明在病毒在疯狂感染文件--就是写文件的过程],同时会莫名弹窗提示文件没有权限,这可能是病毒Bug,也是提醒我们系统已经异常的警报。
⑦其在注册表中创建2个启动项:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\mydesk]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="mydesk"
"hkey"="HKCU"
"command"="C:\\Users\\WWH\\Desktop\\mydesk 1.0.7.0\\mydesk.exe"
"inimapping"="0"
"YEAR"=dword:000007e4
"MONTH"=dword:00000004
"DAY"=dword:00000002
"HOUR"=dword:00000017
"MINUTE"=dword:0000001e
"SECOND"=dword:0000001e
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Synaptics Pointing Device Driver]
"key"="SOFTWARE\\Wow6432Node\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="Synaptics Pointing Device Driver"
"hkey"="HKLM"
"command"="C:\\ProgramData\\Synaptics\\Synaptics.exe"
"inimapping"="0"
"YEAR"=dword:000007e4
"MONTH"=dword:00000004
"DAY"=dword:00000002
"HOUR"=dword:00000017
"MINUTE"=dword:0000001e
"SECOND"=dword:0000001e
3、处理方法:
①先删除病毒的自启动项;
②再删除病毒本体及复制体文件及文件夹;
③用火绒全盘剿杀,并重新启动系统,再次全盘在剿杀。
④保证系统干净情况下,再用火绒全盘查杀及修复被感染文件[此时文件的创建时间改变,大小会变小,恢复原来大小。]
⑤最后用火绒全盘查杀及修复被感染U盘内文件[此时文件的创建时间改变,大小会变小,恢复原来大小。][特别注意:执行此操作时,火绒所在盘预留20G病毒隔离空间,要不然无法查杀及修复。]
⑥最后系统正常,删除火绒隔离区内的备份的病毒文件。[我的有18G多。第一次不够,又花了一上午重新查杀修复]。========================================================== 病毒
病毒在注册表活动
|