马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。
您需要 登录 才可以下载或查看，没有帐号？注册
x
病毒名称： Backdoor.Win32.Sheldor.l
病毒类型： 后门类
文件MD5： D19A46E804D01284A4414CC64A3F8763
文件长度： 69,121 字节
感染系统： Windows98以上版本
开发工具： Microsoft Visual C 6.0
加壳类型： 未知壳
病毒描述：
该病毒运行后，衍生病毒副本到系统目录下，修改系统文件explorer.exe以跟随系统引导病毒体。将病毒程序衍生的dll文件载入系统进程中，开放本地后门等待接受远程控制。该病毒通过移动设备传播。
行为分析：
本地行为:
1、文件运行后会衍生副本
|
%System32%\msime.exe 69,121 字节
%System32%\SysIdt0.dll 92,160 字节
%System32%\dirvers\usbk1.sys 2,816 字节
%WinDir%\explorer.exe.img 正常文件
%WinDir%\explorer.exe.idx 正常文件 |
2、病毒体通过在系统文件explorer.exe文件后添加一个与病毒启动相关的节，继而将病毒体衍生dll文件加载进系统进程中。
3、连接如下地址等待控制：
Silencegl.51vip.biz (202.103.248.65:8959)
4、从下列地址读取IP
http://www.yoursite.net(69.46.226.170)/ip.txt
代码分析
1、从自身资源中衍生病毒dll文件:
2、设置衍生文件属性：
3、创建进程，执行病毒衍生文件：
[1] [2] 下一页
<
4、连接远程控制端：
5、创建的服务信息：
6、创建的互斥体：
7、感染后的exploer.exe。首先加载病毒dll文件,而后JMP语句即跳到正常的入口点执行。
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
%Windir%\ WINDODWS所在目录
%DriveLetter%\ 逻辑驱动器根目录
%ProgramFiles%\ 系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区\
%Documents and Settings%\ 当前用户文档根目录
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、使用Atool：工具=》搜索DLL功能，输入SysIdt0.dll，查找到后卸载
3、删除下列文件：
%System32%\msime.exe 69,121 字节
%System32%\SysIdt0.dll 92,160 字节
%System32%\dirvers\usbk1.sys 2,816 字节 |
4、点击“开始”=>“运行”=>输入“CMD”=>输入指令到下图状态
5、使用Atool结束Explorer.EXE进程
6、快速切换到第四步的窗口，按回车键，删除explorer.exe，命令成功执行郊果应该是不能显示桌面为准，否则重复第4到第6步。
7、在第四步的窗口中执行下列指令，重新启动后，病毒清除完毕。
ren explorer.exe.img explorer.exe
或者下列指令:
ren explorer.exe.idx explorer.exe
上一页 [1] [2]
<
MARGO
KATE
NATALIA
彻底完美解决Photoshop CC 2015/20
IP卡
狗仔卡
发表于 2008-12-4 10:12:03
收藏
转播
分享
淘帖
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡