封锁杀软升级程序Kernel32.exe，VVinHe1p.exe，VVinHe1p.dll分析
时间:2008-07-29 12:27:38 来源: 作者:
本周截获一款屏蔽主流杀毒软件以及其升级程序的病毒。
相比之前类似病毒类样本而言，该病毒以匹配文件名的方式删除杀毒软件的升级程序，以便阻止用户更新病毒库进行防护。包括360安全卫士在内的安全工具也在病毒的打击范围内。
该病毒创建主要文件：
注意：病毒文件名前面为两个大写字母V ，以及后面穿插的数字1。
开机加载服务以及随机驱动。插入svchost.exe进程，伪装奇虎公司产品。
在临时目录下写入manifest.txt和sysdata.xml文件，读取远程主机的配置文件下载病毒。 以360安全卫士之名劫持杀软域名，屏蔽用户向各杀软厂商求助以及修复程序的可能。
相比之前类似病毒类样本而言，该病毒以匹配文件名的方式删除杀毒软件的升级程序，以便阻止用户更新病毒库进行防护。包括360安全卫士在内的安全工具也在病毒的打击范围内。
该病毒创建主要文件：
引用:
%Systemroot%\system32\Kernel32.exe
%Systemroot%\system32\VVinHe1p.exe
%Systemroot%\system32\VVinHe1p.dll
%Systemroot%\system32\VVinHe1p.ocx
%Systemroot%\system32\VVinHe1p.zip
开机加载服务以及随机驱动。插入svchost.exe进程，伪装奇虎公司产品。
在临时目录下写入manifest.txt和sysdata.xml文件，读取远程主机的配置文件下载病毒。 以360安全卫士之名劫持杀软域名，屏蔽用户向各杀软厂商求助以及修复程序的可能。
引用:
127.0.0.1 localhost
# *********以下内容为 360安全卫士 为免疫 360安全卫士 所添加******************
具体Hosts见附件： 
Hosts文件.txt (6.56 KB)
解决方案：
1.下载附件中的毒霸文件删除工具，导入病毒文件列表或编辑路径去执行删除操作。如图所示： 
DelayDelFile.rar (387.5 KB)
文件列表如下：
%Systemroot%\system32\Kernel32.exe
%Systemroot%\system32\VVinHe1p.exe
%Systemroot%\system32\VVinHe1p.dll
%Systemroot%\system32\VVinHe1p.ocx
%Systemroot%\system32\VVinHe1p.zip
详细使用方法参考：http://bbs.duba.net/thread-21914617-1-1.html
2.毒霸用户使用附件中的毒霸联网修复程序在联网状态下进行对毒霸2008套装修复即可。 毒霸2008联网修复程序.rar (536.21 KB)
小结：
病毒与杀软对抗的战火似乎并未随着奥运会的到来而消退，提醒广大网民请警惕你的杀软升级程序是否工作正常。
上一篇：没有了 下一篇：没有了
文章评论
共有 0人发表了评论 查看完整内容