spo0lsv病毒分析
1.样本概况
1.1 样本信息
病毒名称:spo0lsv.exe
所属家族:Worm
MD5值:512301C535C88255C9A252FDF70B7A03
SHA1值:CA3A1070CFF311C0BA40AB60A8FE3266CFEFE870
CRC32:E334747C
文件大小:30001bytes
壳信息:FSG 2.0
病毒行为:复制自身、感染PE文件、覆写PE文件、修改注册表自启动、枚举进程、结束杀软进程、删除安全软件相关启动项
1.2 测试环境及工具
Win7、PEID、火绒剑、x64dbg、OD、IDA、010Editor、PCHunter、Hash
1.3 分析目标
分析病毒的恶意行为,通过恶意代码梳理感染逻辑,编写查杀修复工具。
2.具体行为分析
2.1 主要行为
病毒的主要行为分三部分:
第一部分(自我复制执行)
第二部分(感染部分)
第三部分(病毒自我保护)
2.1.1 恶意程序对用户造成的危害(图)
1、病毒复制自身到:C:\Windows\System32\drivers\spo0lsv.exe并启动
2、每个目录下创建Desktop_.ini文件,并隐藏;
3、每盘符根目录创建autorn.inf、setup.exe文件并隐藏,setup.exe设置为自启动;
4、感染后缀位exe scr pif com文件和后缀为htm html asp php jsp aspx文件;
5、设置注册表键值得,svcshare项设置自启动;
6、连接局域网中其他计算机;
2.2 恶意代码分析
2.1 病毒OEP代码执行过程分析
2.2 病毒释放和运行分析
2.3 病毒感染分析
2.3.1 全盘感染
删除.GHO文件
感染后缀位.exe .scr .pif .com文件
感染后缀为htm html asp php jsp aspx文件
2.3.2 定时器感染
2.3.2 局域网感染
2.4 病毒自我保护分析
2.4.1 定时器1回调函数sub_40CEE4
设置病毒自启动,设置无法开启显示隐藏文件;
2.4.2 定时器2回调函数sub_40D040
2.4.3 定时器3回调函数sub_40D048
2.4.4 定时器4回调函数sub_407430
2.4.5 定时器5回调函数sub_40CC4C
2.4.6 定时器6回调函数sub_40C728
3.解决方案(或总结)
3.1 提取病毒的特征,利用杀毒软件查杀
网络ip:
字符串:WhBoy
3.2 手工查杀步骤或是工具查杀步骤或是查杀思路等。
1、关闭spo0lsv.exe进程,删除C:\Windows\System32\drivers\spcolsv.exe
2、删除HKEY\Software\Microsoft\Window\CurrentVersion\Run中自启动项svcshare
3、显示隐藏文件,设置HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
\Advanced\Folder\Hidden\SHOWALL中CheckedValue键值设置为1
4、删除每个盘符根目录中的autorun.inf和setup.exe及目录中的隐藏文件Desktop_.inii
spo0lsv病毒分析的更多相关文章
- 【病毒分析】对一个vbs脚本病毒的分析
[病毒分析]对一个vbs脚本病毒的分析 本文来源:i春秋社区-分享你的技术,为安全加点温度 一.前言 病毒课老师丢给我们一份加密过的vbs脚本病毒的代码去尝试分析,这里把分析过程发出来,供大家参考,如 ...
- [FreeBuff]Trojan.Miner.gbq挖矿病毒分析报告
Trojan.Miner.gbq挖矿病毒分析报告 https://www.freebuf.com/articles/network/196594.html 竟然还有端口转发... 这哥们.. 江民安全 ...
- 一份通过IPC$和lpk.dll感染方式的病毒分析报告
样本来自52pojie论坛,从事过两年渗透开始学病毒分析后看到IPC$真是再熟悉不过. 1.样本概况 1.1 样本信息 病毒名称:3601.exe MD5值:96043b8dcc7a977b16a28 ...
- 小技巧——病毒分析中关闭ASLR
原文来自:https://bbs.ichunqiu.com/thread-41359-1-1.html 病毒分析中关闭ASLR 分析病毒的时候,尽可能用自己比较熟悉的平台,这样可以大大地节省时间,像我 ...
- Virut.ce-感染型病毒分析报告
1.样本概况 病毒名称 Virus.Win32.Virut.ce MD5 6A500B42FC27CC5546079138370C492F 文件大小 131 KB (134,144 字节) 壳信息 无 ...
- QQ链接病毒分析
QQ链接病毒分析 特征 点击病毒链接后,自动会在每一时刻范围内通过所有途径群发新的病毒链接(途径包括Qzone,群聊等) 分析 首先看一下病毒链接的一个样例 http://news.soso.com/ ...
- 病毒分析(三)-利用Process Monitor对熊猫烧香病毒进行行为分析
前两次随笔我介绍了手动查杀病毒的步骤,然而仅通过手动查杀根本无法仔细了解病毒样本的行为,这次我们结合Process Monitor进行动态的行为分析. Process Monitor Process ...
- Ramnit蠕虫病毒分析和查杀
Ramnit是一种蠕虫病毒.拥有多种传播方式,不仅可以通过网页进行传播,还可以通过感染计算机内可执行文件进行传播.该病毒在2010年第一次被安全研究者发现,从网络威胁监控中可以看出目前仍然有大量的主机 ...
- PE文件附加数据感染之Worm.Win32.Agent.ayd病毒分析
一.基本信息 样本名称:1q8JRgwDeGMofs.exe 病毒名称:Worm.Win32.Agent.ayd 文件大小:165384 字节 文件MD5:7EF5D0028997CB7DD3484A ...
随机推荐
- groovy 知识集锦
对应官方的<Program structure>的中文翻译 http://www.cnblogs.com/zhaoxia0815/p/7404387.html
- flex布局-css
1.html <div id="parent"> <div id="child1"></div> <div id=& ...
- 64位的windows服务安装问题
需要使用64位的安装exe文件才可以. @echo offC:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe -i &quo ...
- Django SCRF跨站点请求伪造
使用Django发POSTt请求的时候经常会遇到Forbidden的错误,然后直接了当的方法就是去setting里面吧csrf中间件注释掉,其实csrf是django给我们提供的防护措施. CSRF就 ...
- 3D Math Keynote 2
[3D Math Keynote 2] 1.方向(diretion),指的是前方朝向.方位(orientation),指的是head.pitch.roll. 2.欧拉角的缺点: 1)给定方位的表达式不 ...
- rsync镜像命令
rsync -e 'ssh -p 19809' -av wwwroot root@3.3.3.3:/home/download/ 参数详解 编辑 -v, --verbose 详细模式输出 -q, -- ...
- Java框架spring 学习笔记(十六):c3p0连接池的配置以及dao使用jdbcTemplate
连接池可以大大提高数据库的性能和连接速度,将那些已连接的数据库连接存放在一个连接池里,以后别人要连接数据库的时候,将不会重新建立数据库连接,直接从连接池中取出可用的连接,用户使用完毕后,会释放连接重新 ...
- 【Spring学习】【Java基础回顾-数据类型】
Java基础回顾过程中,之前对于Java相关基础知识都是从这个人的博客看一些,那边的内容看一下,觉得不够系统化,决定用xmind脑图的形式,将Java基础知识回顾的作为一个系列,当前正在做的会包含: ...
- python包的一些问题
1查看python包的版本 2 卸载包的方法 3指定python包的安装版本 参考网址 https://blog.csdn.net/colourful_sky/article/details/8018 ...
- VBA 插入图片到指定单元格并保存图片为图片文件
'Upload File to the specific folder Sub UploadImages(s$, c$) 's$ Buttom number 'c$ Specify a locatio ...