病毒描述

　　该病毒属于盗号类木马，病毒运行后，首先在%WinDir%MayaBaby目录下创建MayaBabyDll.dat、rizxw.dat；停止Beep服务，复制rizxw.dat替换原系统文件beep.sys，然后执行Beep服务，这样系统重新启动时，原系统服务Beep便会加载被替换了的驱动文件rizxw.dat；恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效；随后复制自身到%WinDir%MayaBaby下，新增注册表项，创建病毒服务network services，已达到随机启动病毒文件的目的；通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程；在%System32%下生成me.bat，用于删除原病毒文件和自身。

　　行为分析-本地行为

　　1、 文件运行后会释放以下文件

　　%WinDir%MayaBabyMayaBabyDll.dat 　　　　　　　　　　 11,776字节

　　%WinDir%MayaBabyMayaBabyMain.exe 　　　　　　　　　　12,416 字节

　　%WinDir%MayaBabyrizxw.dat 　　　　　　　　　　 　　　2,560字节

　　%System32%dllcachebeep.sys 　　　　　　　　　　 　　 2,560字节

　　%System32%driversbeep.sys 　　　　　　　　　　 　　　2,560字节

　　2、 新增注册表，创建病毒服务Network Services

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： " DisplayName "

　　类型： REG_SZ

　　字符串： "网络服务"

　　描述： 服务名称

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "ImagePath"

　　类型： REG_SZ

　　字符串： " C:WINDOWSMayaBabyMayaBabyMain.exe"

　　描述：服务的映像文件的启动路径

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "ObjectName"

　　类型： REG_SZ

　　字符串： "LocalSystem"

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNetwork Services]

　　注册表值： "Start "

　　类型： DWORD

　　值： 2

　　描述：服务的启动方式为自动

　　3、 恢复SSDT， SSDT一旦被恢复到原始状态，可以使多数杀软（如卡巴、瑞星、Tiny等）监控全部失效。

　　4、 通过给当前系统内执行的进程拍快照，来判断是否存在AVP.exe、ravmon.exe、ravtask.exe、ravstub.exe、ravmond.exe、rfwsrv.exe、rfwstub.exe、rfwmain.exe、360tray.exe、360safe.exe进程，存在便终止其进程。

　　5、 在%System32%下生成me.bat，在病毒执行完自身代码后，用于删除原病毒文件和自身。

　　清除方案

　　手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool管理工具，请点击下载。

　　(1) 使用ATOOL“进程管理”关闭病毒进程。

　　(2) 删除病毒文件

　　%WinDir%MayaBabyMayaBabyDll.dat

　　%WinDir%MayaBabyMayaBabyMain.exe

　　%WinDir%MayaBabyrizxw.dat

　　%System32%dllcachebeep.sys

　　%System32%driversbeep.sys

　　(3) 删除病毒添加的注册表项

　　删除HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices下的Network Services子键