一 木馬行為

1 中毒現(xiàn)象（接收了最新照片和訪問黃色網(wǎng)站）

電腦桌面有免費(fèi)電影、淘寶等四個(gè)快捷方式，無法刪除，金山急救箱無法打開，安全模式也無法啟動(dòng)，但能正常上網(wǎng)，怎么辦呀，不想重裝系統(tǒng)，請(qǐng)各位大哥幫忙

2 中毒的方式模擬

用戶搜索人體藝術(shù)，我愛色色等關(guān)鍵字尋找到色情網(wǎng)站，然后為了點(diǎn)擊播放按鈕此時(shí)會(huì)下載名為處女噴水播放器的專用播放器（qvod圖標(biāo)），用戶點(diǎn)擊以后感染 病毒（安裝過程中提示 程序錯(cuò)誤~ (1x167925136)文件損壞，程序無法安裝！）

二 金山系列產(chǎn)品查殺效果

1 防御測(cè)試－金山衛(wèi)士木馬防御可以攔截木馬運(yùn)行
  
2 防御測(cè)試－金山衛(wèi)士網(wǎng)址云安全可以攔截木馬下載
  
3 金山急救箱可以清理病毒添加的啟動(dòng)項(xiàng)目

 如果您擔(dān)心系統(tǒng)被黑客攻占，苦于無處尋找殺毒軟件免費(fèi)下載，不妨試試金山安全旗下的安全產(chǎn)品好了！

三 此次病毒的特性

1 病毒特征

系統(tǒng)runonce下面存在一個(gè)名為系統(tǒng)安全模塊(停止可能會(huì)引起系統(tǒng)崩潰)的啟動(dòng)項(xiàng)目，指向文件system32.exe

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
<系統(tǒng)安全模塊(停止可能會(huì)引起系統(tǒng)崩潰)> [(Verified)深圳市迅雷網(wǎng)絡(luò)技術(shù)有限公司, 1, 0, 2, 50]

File: system32.exe
Size: 579272 bytes
File Version: 1, 0, 2, 50
簽名公司：ShenZhen Thunder Networking Technologies Ltd.
簽名時(shí)間：2009?年11月5日 11:39:06
MD5: FB58BD8118A7D7251179C276651DF7DB

2 病毒加載原理（原理流程見附件，核心的是可以繞過基于啟動(dòng)項(xiàng)云安全檢測(cè)的技術(shù)，導(dǎo)致安全軟件無法發(fā)現(xiàn)潛在 的病毒木馬）

開機(jī)啟動(dòng)以后通過系統(tǒng)runonce啟動(dòng)項(xiàng)目啟動(dòng)程序system32.exe（ThunderService，帶迅雷官方數(shù)字簽名，啟動(dòng)項(xiàng)檢測(cè) 會(huì)把這項(xiàng)判斷為白文件），該文件會(huì)主動(dòng)加載模塊XLBugHandler.dll（應(yīng)該是錯(cuò)誤收集的一個(gè)功能模塊，帶迅雷數(shù)字簽名，該文件實(shí)際負(fù) 責(zé)啟動(dòng)病毒），該模塊加載以后捕獲到主程序異常生成dump文件，同時(shí)調(diào)用XLBugReport.exe上傳生成的dump文件，因?yàn)?ThunderService沒有檢查執(zhí)行的XLBugReport.exe的文件是否安全因此直接導(dǎo)致加載偽裝的 XLBugReport.exe文件，用戶電腦中毒。

（1）黑客挖掘大型軟件存在的類似DLL挾持的漏洞，如必須加載的模塊，在某些情況下必定會(huì)加載的程序之類

（2）構(gòu)造惡意軟件，存在隱患的正常文件（通常包含大型安全軟件廠商的數(shù)字簽名）+ 惡意構(gòu)造的必須模塊（有些需要模擬導(dǎo)出表）

（3）寫入啟動(dòng)項(xiàng)目，通常會(huì)使用“系統(tǒng)安全模塊(停止可能會(huì)引起系統(tǒng)崩潰)”，360系統(tǒng)關(guān)鍵服務(wù)(結(jié)束掉可能導(dǎo)致系統(tǒng)崩潰)，QQ安全組件 保鏢等作為啟動(dòng)項(xiàng)的名稱，以避免被用戶人肉識(shí)別或者欺騙用戶不卸載

（4）目前手頭收集的已經(jīng)被利用的正常軟件見附件（360，迅雷，QQ 相信有很多很多的軟件都存在這樣的問題，比如這幾天流行的關(guān)于QQ游戲的數(shù)字簽名是2007年，安全廠商，軟件廠商很難去避免已經(jīng)釋放版本被利用）

3 偽XLBugReport.exe主要行為

（1）修改常見瀏覽器的配置文件，將主頁修改為流氓作者制定的網(wǎng)址導(dǎo)航 http://www.01169.com/?vip 或者http://www.4845.com/?bddd

TtConf.dat（騰訊TT瀏覽器）
360se.ini（360瀏覽器）
TheWorld.ini(世界之窗瀏覽器)

（2）刪除桌面快捷方式，安全軟件、瀏覽器、其他流氓創(chuàng)建的快捷方式’

其他流氓軟件創(chuàng)建的快捷方式：Internet Explorer.url，淘寶商城.lnk
安全軟件快捷方式：360安全衛(wèi)士.lnk，360軟件管家.lnk，360殺毒.lnk，瑞星殺毒軟件.lnk，修復(fù)瑞星軟件.lnk，賬號(hào)保 險(xiǎn)柜.lnk
其他瀏覽器快捷方式;Mozilla Firefox.lnk

（3）創(chuàng)建桌面惡意圖標(biāo)

淘寶-購物.lnk（目標(biāo)："C:\Program Files\Internet Explorer\IEXPLORE.EXE" C:\WINDOWS\web\Index.htm）
Internet Explorer.lnk
海西導(dǎo)航
 
（4）添加收藏夾

淘寶商城
單機(jī)游戲下載-咪咪游戲網(wǎng)[www.mimiyx.com]
文章閱讀啦-[精彩美文在線閱讀-心情日記]
淘寶網(wǎng)
愛愛奇網(wǎng)址導(dǎo)航
美女帥哥在線靚照-[小小非主流]
非主流圖片全集-[非主流星圖片網(wǎng)]
圖魅藝術(shù)美圖

（5）創(chuàng)建名為系統(tǒng)安全模塊(停止可能會(huì)引起系統(tǒng)崩潰)的開機(jī)啟動(dòng)項(xiàng)目

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
"系統(tǒng)安全模塊(停止可能會(huì)引起系統(tǒng)崩潰)"="D:\\Windows Media Player\\Program Files\\system32.exe"

金山衛(wèi)士查殺木馬能力更強(qiáng)、檢測(cè)漏洞更快、體積更小巧的免費(fèi)安全軟件。它獨(dú)家采用雙引擎技術(shù),云引擎能查殺上億已知木馬，獨(dú)有的本地V10引擎可全面清除感染型木馬；漏洞檢測(cè)針對(duì)windows7優(yōu)化，速度比同類軟件快10倍；更有實(shí)時(shí)保護(hù)、軟件管理、插件清理、修復(fù)IE、啟動(dòng)項(xiàng)管理等功能，全面保護(hù)您的系統(tǒng)安全。點(diǎn)擊下載金山衛(wèi)士>>