关于感染型下载器MSDOS.BAT

煎饼

此毒查杀比较难。
8 r/ T% ~- i7 O5 w: }
我得到的原始“火种”是一个MSDOS.BAT文件。当时，用瑞星20.38.60扫此样本，瑞星不报毒。已将此样本提交瑞星公司。
中此病毒群后，MSDOS.BAT位于硬盘各个分区的根目录下（还有一个指向MSDOS.BAT的autorun.inf）。MSDOS.BAT运行后访问网络：58.53.128.37，下载大量病毒。
$ `0 z: ]/ d9 s5 ~

1、释放/下载的主要病毒文件：
c:\windows\tasks\0x01xx8p.exe
; H$ e# j2 ], G; Ac:\windows\tasks\explorer.ext
c:\windows\system32\7560.dat
c:\windows\system32\a0.ext
.
.
9 @0 e) [8 z( }+ L+ [3 t+ i.
c:\windows\system32\a25.ext
8 z  d3 ?/ I0 d0 jc:\windows\system32\oko.exe
5 R, B1 ?  V. {c:\windows\system32\msosdohs.dat
c:\windows\system32\msosdohs00.dll（插入explorer.exe进程）
1 y8 `- m# a, `0 [3 cc:\windows\system32\msosdohs01.dll（插入explorer.exe进程）
  g: @$ e  ]+ M) ]c:\windows\system32\ttEZZEZZ1044.dll
c:\windows\system32\ttNNBNNB1047.dll
c:\windows\system32\txWWQWWQ1006.dll
c:\zzz.sys（加载后自动删除）
4 t4 V- G$ W& `: P. k$ ~; v! ~% Fc:\windows\system32\drivers\msosfpids32.sys
病毒文件还有不少（见附件图）
8 `1 i9 j. R/ `; r, [5 {9 v& K
8 |% h- c2 o5 `3 A; _% ~4 ^2、感染硬盘中的.exe、.htm、html文件；删除c:\windows\system32\verclsid.exe；替换C:\windows\explorer.exe。

% G+ F/ a2 G" Y. r' g# [2 YMSDOS.BAT感染型下载器的病毒下载地址：
http://58.53.128.37/a0.exe
$ n( F- r0 f# L$ u$ k/ k7 Shttp://58.53.128.37/a1.exe
http://58.53.128.37/a2.exe
http://58.53.128.37/a3.exe
http://58.53.128.37/a4.exe
http://58.53.128.37/a5.exe
& c3 Z; L! i2 d; r2 s% o) i: ?http://58.53.128.37/a6.exe
. y  f3 K, {) K) q' zhttp://58.53.128.37/a7.exe
) ]* M# D& b) q6 W8 lhttp://58.53.128.37/a8.exe
% i  }4 r3 `. O: \# whttp://58.53.128.37/a9.exe
& I. {0 h. N6 D/ Mhttp://58.53.128.37/a10.exe
http://58.53.128.37/a11.exe
http://58.53.128.37/a12.exe
4 i: F+ `& o* ]2 Y( {6 ]http://58.53.128.37/a13.exe
http://58.53.128.37/a14.exe
http://58.53.128.37/a15.exe
- g: ?5 O8 J9 }% f) x' ]8 }http://58.53.128.37/a16.exe
/ Q/ u$ R6 t7 ]/ \+ N/ X$ D0 whttp://58.53.128.37/a17.exe
5 x9 K/ g1 }5 {3 P! U7 W7 M1 o( hhttp://58.53.128.37/a18.exe
http://58.53.128.37/a19.exe
7 M$ \+ C6 ~  g- uhttp://58.53.128.37/a20.exe
, X+ [( Q5 ~0 p4 h7 `/ X$ _* Bhttp://58.53.128.37/a21.exe
) E& i+ l9 b0 ?, `; F/ a9 X* Nhttp://58.53.128.37/a22.exe
, e3 x$ c$ ~  I+ Whttp://58.53.128.37/a23.exe
http://58.53.128.37/a24.exe
' {5 J5 V% B/ a3 W0 }http://58.53.128.37/a25.exe
http://58.53.128.37/oko.exe
% R4 ]8 ?8 q. W# f
查杀难点：
1、c:\windows\system32\75132.dat和c:\windows\system32\urjuujdw.hew两个进程相互配合，指挥c:\windows\system32\msosdohs00.dll和c:\windows\system32\msosdohs01.dll插入系统核心进程、explorer.exe进程以及所有应用程序进程（包括安全软件的进程也被插入）。

2、explorer.exe被病毒替换。如果强制删除这个被病毒替换explorer.exe，及上面提到的病毒文件，桌面消失。即使注销当前用户，重新登录系统，也无法显示桌面。
! Y2 h) c5 [) V
3、此毒感染硬盘所有分区中的.exe、.htm、html文件。
; P) Q9 v- V4 A3 u9 E
! ]' z( y4 G5 y. q4、c:\windows\system32\文件夹、c:\windows\system32\drivers\文件夹、c:\windows\tasks\文件夹、当前用户临时文件夹中都有病毒文件。

8 V; H  e/ I1 e5、此毒貌似是针对SRENG的。中这堆病毒后，用户试图运行SRENG扫日志时，SRENG即刻被病毒删除。
  a( h+ b/ T2 r5 S) z& i9 E
7 z+ x6 Z8 Z5 X, g我在影子系统（全影模式）中运行过这个病毒样本，用Tiny全程监控可以获得此病毒群感染系统的全部信息（见附件图）。有了这些信息，可以用IceSword手工删除那堆病毒文件。被感染的.exe、.htm、html等，需用杀软处理（量太大）。

另：有人说此毒可以穿透影子系统2.8。全影系统运行病毒样本，重启后，被病毒替换explorer.exe以及病毒驱动C:\zzz.sys还在系统中。但是，我在全影模式下运行此毒，没有发现这个现象。重启后，系统是干净的。