[病毒]kavo系列

[faris1003 (Gun & Rose)]

可能因為年關將近

沉寂已久的kavo系列最近又有動作

目前遇到的case情形都是差不多模式，不過檔名倒是大更換

機碼掛載的部份

同樣在Run底下
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
從本來的
<kxvo><C:\WINDOWS\system32\kxvo.exe>
<jvvo><C:\WINDOWS\system32\j3ewro.exe>
換成
<dorfgwe><C:\WINDOWS\system32\uret463.exe>
<anhtaaa><C:\WINDOWS\system32\kacsde.exe>
19號從新log看到
<ertyuop><C:\WINDOWS\system32\rttrwq.exe>
<anhtaas><C:\WINDOWS\system32\cvsdfw.exe>

ShellExecuteHooks
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
這部份帶的值比較不一定，從早期的EBxx FCxx B4xx BitkvX到最近的
<{BB4C402F-882A-4526-8C08-51278EA437C1}><C:\WINDOWS\system32\afmainX.dll>

接下來是執行程序掛載的

從之前
C:\windows\system32\kxvoX.dll
C:\windows\system32\jwedsfdoX.dll
C:\windows\system32\bitkvX.dll
..繁多不及備載 XD
換成
C:\WINDOWS\system32\lhgjyitX.dll
C:\WINDOWS\system32\afmainX.dll
C:\WINDOWS\system32\godertX.dll
19號從新log看到
C:\WINDOWS\system32\mkfghtX.dll
C:\WINDOWS\system32\otreweX.dll

P.S X為累加數

Autorun程序

大部分都是y319s.exe以及ud.exe兩個

用命令提示字元的解法，可以使用下列四個指令來解除
taskkill
attrib
del
ren or rename

參數或是用法可以在後面輸入 /? 或是 直接參考 18006

或是等新版工具加入這些list XD

P.S 此次也會生成卡巴的假服務 C:\windows\system32\drivers\klif.sys

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 219.87.151.157
推 security00:f大真的很用心  要大力的推一個
※ 編輯: faris1003       來自: 219.87.151.157       (01/20 14:33)
推 joycewanga:推
推 Monsoon:推!!!
推 OceanRay:推～～真的很詳細～～
推 s109612044:推～