nx.exe systom.exe病毒清除办法

File: nx.exe
Size: 28160 bytes
Modified: 2007年10月15日, 23:05:30
MD5: 3C35C8AEC2D8DAA9ECDC026C2600141A
SHA1: C230D86618F3D6758E30F4933225A93C3E705DF2
CRC32: C6E542DB

 

nx.exe systom.exe病毒分析
1.病毒运行后，释放如下副本：
%systemroot%\system32\Systom.exe
在每个分区下面生成autorun.inf 和nx.exe

 

2.调用reg.exe进行如下操作：

添加自身启动项目
ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /V crsss /T REG_SZ /D

禁用windows自动更新
add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\WindowsUpdate /v DisableWindowsUpdateAccess /t REG_dword /d 00000001 /f   
禁用任务管理器
add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_dword /d 00000001 /f
破坏显示隐藏文件
将HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL 的值设置为0
add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN /v Text /t REG_SZ /d 显示所有文件和文件夹 /f    
add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\NOHIDDEN /v CheckedValue /t REG_dword /d 00000002 /

破坏安全模式
delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /f
delete HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /f
delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318} /f
delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318} /f

 

3.向HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\下面添加如下映像劫持项目指向%systemroot%\system32\Systom.exe（篇幅所限，仅贴图示意）

 

4.遍历各个分区删除.GHO文件

 

5.感染各个分区的INDEX.ASP，.HTM，INDEX.PHP，DEFAULT.ASP，DEFAULT.PHP，CONN.ASP文件

 

6.连接http://www.88baobaomm.bj.cn/tj.asp做感染统计

 

7.读取http://www.88baobaomm.bj.cn1.txt~http://www.88baobaomm.bj.cn3.txt中的内容 进行下载木马，锁定主页或者根据文本文档中的内容关闭指定窗口等破坏操作。
但所有链接已失效。

 

8.病毒体内有字样“niux”