av在线不卡网站 I 日本老年老熟无码 I 天天鲁天天谢天天擦 I 免费观看黄色小视频 I 欧美日韩中文字幕在线视频 I 国产精品av在线免费观看 I 日韩av影音先锋 I 91网站免费在线观看 I 五月婷影院 I 欧美狂猛xxxxx乱大交3 I 国产一级18片视频 I 无码熟妇αⅴ人妻又粗又大 I 奇米影视奇奇米色狠狠色777 I 国产乱人伦偷精品视频免 I 国产亚洲精品a片久久久 I 日韩,中文字幕 I 久久精品国产一区二区三区肥胖 I 97人人添人人爽一区二区三区 I av2014天堂 I 中文字幕精品一二三四五六七八 I 免费女人18a级毛片高清视频 I 精品在线视频播放 I 春节回家相亲孟孟在线观看 I 国产精品免费看久久久 I 免费国产片在线观看 I 寡妇一级淫片免费看 I 国产精品毛片一区二区在线 I 久久一区二区精品 I 日韩精品一区二区三区高清免费 I 欧美精品一区二区三区中文欧美人 I 亚洲精品视频在线看 I 1卡2卡3卡精品视频 I av资源免费观看 I 国产真裸无庶纶乱视频 I 亚洲午夜一二三区视频

U盤病毒ah.exe 查殺

這是一個類似AV終結(jié)者的木馬下載器，具有U盤傳播，關(guān)閉殺毒軟件和指定窗口并下載木馬的功能

AV命名：Trojan.DL.Win32.Autorun.yuz（瑞星）

技術(shù)細(xì)節(jié)：
1、釋放病毒副本：
%systemroot%\system32\dream.exe
%systemroot%\system32\sbl.inf
%systemroot%\system32\plmmsbl.dll

各個分區(qū)釋放autorun.inf和ah.exe
%systemroot%\system32\sbl.inf與autorun.inf內(nèi)容相同

2.添加注冊表啟動項目
在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
下添加 {melove}{%systemroot%\system32\dream.exe}
和{dream}{%systemroot%\system32\dream.exe}的啟動項目

3.啟動一個svchost.exe 然后利用

3.調(diào)用cmd.exe 執(zhí)行cmd.exe /c net stop sharedaccess的命令 關(guān)閉Windows自帶的防火墻

4.結(jié)束如下進(jìn)程
360safe.exe
360tray.exe
avp.exe

5.檢測窗口，關(guān)閉帶有如下字樣的窗口
防火墻
任務(wù)管理器
木馬清道夫
木馬克星
超級巡警
NOD32核心
微點
安全衛(wèi)士
木馬殺客
NOD32 內(nèi)核
殺毒
江民
金山

6.調(diào)用CreateProcess打開進(jìn)程%systemroot%\system32\svchost.exe，把%systemroot%\system32\plmmsbl.dll注入到svchost.exe中，并調(diào)用urlmon.dll實現(xiàn)下載功能
下載

到c盤并命名為a.exe（或者b.exe ,c.exe）

會釋放一個winsys16_071012.dll（文件名不固定,病毒幾乎每天都在更新）到%systemroot%\system32\下面
并利用rundll32.exe加載

此病毒也是一個類似AV終結(jié)者的下載者病毒
添加啟動項目
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run\

下面添加
向瑞星的IE執(zhí)行保護 發(fā)送允許的指令
向卡巴的安全警告 發(fā)送允許或者跳過的指令

并可關(guān)閉如下字樣的窗口（包括但不限于）
卡巴斯基
瑞星
安全衛(wèi)士
省略N多......

之后病毒又會接連下載幾個木馬程序

---------------------------------------------------------------------------

解決方法：
下載冰刃 有的下
sreng有的下

1.打開Icesword
進(jìn)程欄中 結(jié)束dream.exe和rundll32.exe

單擊 左下角文件按鈕
刪除如下文件
%systemroot%\system\AlxRes071012.exe
%systemroot%\system32\inf\scrsys071012.scr
%systemroot%\system32\inf\scrsys16_071012.dll
%systemroot%\system32\mywebhit.ini
%systemroot%\system32\wincheck071008.dll
%systemroot%\system32\wincheck071008.exe
%systemroot%\system32\winsys16_071012.dll
%systemroot%\system32\winsys32_071012.dll
%systemroot%\checkcj.ini
%systemroot%\mwinsys.ini
%systemroot%\system32\dream.exe
%systemroot%\system32\sbl.inf
%systemroot%\system32\plmmsbl.dll
以及每個分區(qū)下面的
ah.exe 和autorun.inf

2.
打開注冊表,搜索“dream.exe”刪除
再刪除如下項目
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
{mscheck}{rundll32.exe %systemroot%\system32\wincheck071008.dll mymain}

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run]
{Userinit}{rundll32.exe %systemroot%\system32\winsys16_071012.dll start}