扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条
作者:论坛整理 来源:zdnet网络安全 2008年1月12日
关键字: avp.exe病毒 avp.exe进程 avp.exe是什么 avp.exe avp.exe专杀 avp.exe应用程序
运行该样本后,该样本借助看图软件(本机为acdsee)打开,为一美女图片
释放文件:
%system%\hs4viewer.dll
%windir%\avp.exe
还有其他一些完成使命后自我删除的文件
%system%\delplme.bat
%documents and settings%\计算机名\local settings\temp\rarsfx0\1.jpg
%documents and settings%\计算机名\local settings\temp\rarsfx0\server.exe
.....
添加系统服务
[hkey_local_machine\system\controlset003\services\vgadown]
[hkey_local_machine\system\controlset003\enum\root\legacy_vgadown]
指向 %windir%\avp.exe
加载驱动(系统正常文件,处理时别动它)
[hkey_local_machine\system\controlset003\services\ws2ifsl]
%system%\drivers\ws2ifsl.sys
作恶特点:
1、avp.exe冒充卡巴斯基的正常进程
2、修改spi,添加hs4viewer.dll,这个难以说清楚,跟以前的流氓软件roogoo差不多,看hijackthis和sreng日志体现吧
winsock 提供者
msafd tcpip [tcp/ip]
c:\windows\system32\hs4viewer.dll(n/a, n/a)
o10 - unknown file in winsock lsp: %system%\hs4viewer.dll
解决过程:
1、清除掉病毒avp.exe
如果装有卡巴斯基,可以使用procexp来判断哪个avp.exe是病毒进程,终止该进程后,删除avp.exe以及其添加的注册表信息,如
[hkey_local_machine\system\controlset003\services\vgadown]
[hkey_local_machine\system\controlset003\enum\root\legacy_vgadown]
%windir%\avp.exe
要是不嫌麻烦,可以先删除其创建的注册表服务信息,然后重启,再删除avp.exe
2、使用lspfix.exe或其他工具来解决掉hs4viewer.dll
这个尤其要注意,不要蛮干,别搞的上不了网,个人习惯使用lspfix.exe,使用介绍以及其他相关事项在这里
lspfix处理完毕后,再手工删除%system%\hs4viewer.dll
婵″倹鐏夐幃銊╂姜鐢瓕鎻╅崚鍥╂畱閹厖绨$憴顤廡妫板棗鐓欓張鈧弬棰侀獓閸濅椒绗岄幎鈧張顖欎繆閹垽绱濋柇锝勭疄鐠併垽妲勯懛鎶姐€婄純鎴炲Η閺堫垶鍋栨禒璺虹殺閺勵垱鍋嶉惃鍕付娴f娊鈧柨绶炴稊瀣╃閵嗭拷