关于感染型下载器MSDOS.BAT

煎饼

此毒查杀比较难。

$ F& l. t" n/ ]; M9 [- c我得到的原始“火种”是一个MSDOS.BAT文件。当时，用瑞星20.38.60扫此样本，瑞星不报毒。已将此样本提交瑞星公司。
3 H4 `' G/ S( O: v- ^; b% r. p5 o中此病毒群后，MSDOS.BAT位于硬盘各个分区的根目录下（还有一个指向MSDOS.BAT的autorun.inf）。MSDOS.BAT运行后访问网络：58.53.128.37，下载大量病毒。
4 y; O& O3 ^# ~$ D. w9 I/ S/ \7 M

& x, p, B" U3 F5 N  A. ^. v, N1、释放/下载的主要病毒文件：
6 J. B5 V1 o/ S# |* y, tc:\windows\tasks\0x01xx8p.exe
c:\windows\tasks\explorer.ext
/ ?4 m( Y( w# i* F1 e, P8 i/ @2 cc:\windows\system32\7560.dat
c:\windows\system32\a0.ext
.
.
.
c:\windows\system32\a25.ext
% E' D0 T  ?: I: `c:\windows\system32\oko.exe
c:\windows\system32\msosdohs.dat
/ ~/ i* s2 L2 x& sc:\windows\system32\msosdohs00.dll（插入explorer.exe进程）
! [! h. l8 V& v  U# C  e- Wc:\windows\system32\msosdohs01.dll（插入explorer.exe进程）
7 ~- [/ I. }. l" n* b' m/ ?; Ec:\windows\system32\ttEZZEZZ1044.dll
c:\windows\system32\ttNNBNNB1047.dll
c:\windows\system32\txWWQWWQ1006.dll
2 \  K1 N9 ?0 R/ Q0 m3 N, L" w& x: bc:\zzz.sys（加载后自动删除）
: x0 j, R4 ]1 e; d! k' Pc:\windows\system32\drivers\msosfpids32.sys
病毒文件还有不少（见附件图）

, v' w( y! f* q" P2、感染硬盘中的.exe、.htm、html文件；删除c:\windows\system32\verclsid.exe；替换C:\windows\explorer.exe。
$ {" A! P/ ?. K. N; C- B
7 s. v( J8 ^4 i  a  ?MSDOS.BAT感染型下载器的病毒下载地址：
http://58.53.128.37/a0.exe
* w' l0 F, J% n2 k8 y8 h* K$ Mhttp://58.53.128.37/a1.exe
) w$ L3 I& Y7 j/ i8 N- a0 Ohttp://58.53.128.37/a2.exe
http://58.53.128.37/a3.exe
3 i0 x& x8 D: h3 _2 jhttp://58.53.128.37/a4.exe
http://58.53.128.37/a5.exe
http://58.53.128.37/a6.exe
5 l# M/ g+ p6 chttp://58.53.128.37/a7.exe
3 G: L- E; x1 G' ^http://58.53.128.37/a8.exe
! F# c: Z& b9 A! g4 V- bhttp://58.53.128.37/a9.exe
$ @# r; o( b' z5 c( Y( ~( Fhttp://58.53.128.37/a10.exe
' D+ Y- f( F8 ]  z& @1 d" o( o+ r) {http://58.53.128.37/a11.exe
6 w$ b) [+ l7 s/ Q0 Yhttp://58.53.128.37/a12.exe
  m9 H/ j- k3 z7 ~http://58.53.128.37/a13.exe
' O: Z7 ~6 g3 {- u" {$ |http://58.53.128.37/a14.exe
; M1 \* O  r6 b. ]( f) `http://58.53.128.37/a15.exe
% z3 x2 d- P5 K$ \; ~http://58.53.128.37/a16.exe
http://58.53.128.37/a17.exe
http://58.53.128.37/a18.exe
http://58.53.128.37/a19.exe
http://58.53.128.37/a20.exe
http://58.53.128.37/a21.exe
3 Y/ V* h# q1 @$ r" _) bhttp://58.53.128.37/a22.exe
+ q" z2 g' l" |http://58.53.128.37/a23.exe
2 I# J1 J" G% vhttp://58.53.128.37/a24.exe
6 P* @2 G# f- {4 \0 ]http://58.53.128.37/a25.exe
http://58.53.128.37/oko.exe

查杀难点：
1、c:\windows\system32\75132.dat和c:\windows\system32\urjuujdw.hew两个进程相互配合，指挥c:\windows\system32\msosdohs00.dll和c:\windows\system32\msosdohs01.dll插入系统核心进程、explorer.exe进程以及所有应用程序进程（包括安全软件的进程也被插入）。
/ C/ T6 d5 T$ h" k
2、explorer.exe被病毒替换。如果强制删除这个被病毒替换explorer.exe，及上面提到的病毒文件，桌面消失。即使注销当前用户，重新登录系统，也无法显示桌面。
) P4 F8 j8 k. v/ N( m
3、此毒感染硬盘所有分区中的.exe、.htm、html文件。
4 w3 H2 |7 C& u$ u5 A1 G
; y% [: U0 _7 T3 k6 G* l- k( Q4、c:\windows\system32\文件夹、c:\windows\system32\drivers\文件夹、c:\windows\tasks\文件夹、当前用户临时文件夹中都有病毒文件。
  G% K" B; v5 `" _! J$ {
5、此毒貌似是针对SRENG的。中这堆病毒后，用户试图运行SRENG扫日志时，SRENG即刻被病毒删除。

我在影子系统（全影模式）中运行过这个病毒样本，用Tiny全程监控可以获得此病毒群感染系统的全部信息（见附件图）。有了这些信息，可以用IceSword手工删除那堆病毒文件。被感染的.exe、.htm、html等，需用杀软处理（量太大）。

另：有人说此毒可以穿透影子系统2.8。全影系统运行病毒样本，重启后，被病毒替换explorer.exe以及病毒驱动C:\zzz.sys还在系统中。但是，我在全影模式下运行此毒，没有发现这个现象。重启后，系统是干净的。