文件: mm.jpg

　　大小: 16261 字节

　　MD5: D77A7DF984B9861168209D844EDDFB04

　　SHA1: 873188601DB3186D6443D50DFDE72B5391DFF5A0

　　CRC32: 12FE0589

　　加壳类型: FSG 2.0

　　简单行为分析:

　　为进程提升SeDebugPrivilege权限;

　　控制net.exe、net1.exe停止驱动服务"Beep":

　　引用:

　　命令行:

　　NET STOP Beep

　　net1 STOP Beep

　　修改系统文件:

　　引用:

　　%system32%Driversbeep.sys

　　释放病毒副本:

　　引用:

　　%system32%dllcachebeep.sys

　　重新加载beep.sys安装驱动项恢复SSDT:

　　引用:

　　命令行:

　　NET START Beep

　　net1 START Beep

　　创建目录文件夹:

　　引用:

　　%windir%thunder down

　　向文件目录内释放病毒副本:

　　引用:

　　%windir%thunder downcc.dat

　　%windir%thunder downhi.dat

　　%windir%thunder downsilvergod.exe(与原文件相同)

　　添加服务项:

　　引用:

　　HKLMSYSTEMControlSet001ServicesNetwork Services

　　HKLMSYSTEMCurrentControlSetServicesNetwork Services

　　指向文件"%windir%thunder downsilvergod.exe"

　　释放.bat处理调用attrib去除文件属性后删除原文件和自身;

　　引用:

　　%system32%me.bat

　　;

　　手工清理:

　　删除文件:

　　引用:

　　%system32%dllcachebeep.sys

　　%windir%thunder downcc.dat

　　%windir%thunder downhi.dat

　　%windir%thunder downsilvergod.exe

　　用正常系统文件替换:

　　引用:

　　%system32%Driversbeep.sys

　　删除服务项:

　　引用:

　　HKLMSYSTEMControlSet001ServicesNetwork Services

　　HKLMSYSTEMCurrentControlSetServicesNetwork Services

　　重新安装安全软件;

　　注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。

　　%Windir% 　　　　　 　　　　　 WINDODWS所在目录

　　%DriveLetter%　 　　　　　　　 逻辑驱动器根目录

　　%ProgramFiles%　 　 　　　　　 系统程序默认安装目录

　　%HomeDrive% 　　　　　　　　　 当前启动的系统的所在分区

　　%Documents and Settings% 　　　 当前用户文档根目录

　　%Temp% 　　　　　　　　　　　　Documents and Settings

　　　　　　　　　 当前用户Local SettingsTemp

　　%System32% 　　　　　　　　　　 系统的 System32文件夹

　　Windows2000/NT中默认的安装路径是C:WinntSystem32

　　windows95/98/me中默认的安装路径是C:WindowsSystem

　　windowsXP中默认的安装路径是C:WindowsSystem32