关于感染型下载器MSDOS.BAT

煎饼

此毒查杀比较难。

我得到的原始“火种”是一个MSDOS.BAT文件。当时，用瑞星20.38.60扫此样本，瑞星不报毒。已将此样本提交瑞星公司。
中此病毒群后，MSDOS.BAT位于硬盘各个分区的根目录下（还有一个指向MSDOS.BAT的autorun.inf）。MSDOS.BAT运行后访问网络：58.53.128.37，下载大量病毒。
6 \5 C, W* _6 d5 \
8 A9 X! T5 P7 C5 L7 N+ ?
8 z( @2 x+ H1 l  @1、释放/下载的主要病毒文件：
9 ?1 W2 V& {8 c' Q; N; Z  {c:\windows\tasks\0x01xx8p.exe
: d7 N' q# l& p# B( G8 }$ Wc:\windows\tasks\explorer.ext
" ]8 e) j# d6 C; i9 s! ac:\windows\system32\7560.dat
c:\windows\system32\a0.ext
$ N3 L. j3 U4 M# ?7 X  o! @.
.
3 G7 w' X- o6 i$ o: h7 q2 {.
c:\windows\system32\a25.ext
c:\windows\system32\oko.exe
6 F% d9 G: X1 }- s, {7 ac:\windows\system32\msosdohs.dat
( L) T: a: w6 S* C: T9 s6 Gc:\windows\system32\msosdohs00.dll（插入explorer.exe进程）
c:\windows\system32\msosdohs01.dll（插入explorer.exe进程）
c:\windows\system32\ttEZZEZZ1044.dll
c:\windows\system32\ttNNBNNB1047.dll
2 R: c! ?( I: i& q7 n) n) Gc:\windows\system32\txWWQWWQ1006.dll
c:\zzz.sys（加载后自动删除）
c:\windows\system32\drivers\msosfpids32.sys
/ u: d  L5 u8 B0 C: n, A病毒文件还有不少（见附件图）
- k* h# v+ b8 n% I0 ]' _; Y/ @
6 q* i8 l2 H/ i' b% t2、感染硬盘中的.exe、.htm、html文件；删除c:\windows\system32\verclsid.exe；替换C:\windows\explorer.exe。

: L  D; C% e& c" {5 W- K* NMSDOS.BAT感染型下载器的病毒下载地址：
http://58.53.128.37/a0.exe
/ i# J7 x( C2 D+ F- ]5 ~- \* Khttp://58.53.128.37/a1.exe
2 V) K9 h/ J0 l+ rhttp://58.53.128.37/a2.exe
$ n4 I  t7 E9 z, z9 P7 Whttp://58.53.128.37/a3.exe
$ O# R) K+ x6 `; ?2 Mhttp://58.53.128.37/a4.exe
http://58.53.128.37/a5.exe
" l0 j9 K$ j" ^/ ghttp://58.53.128.37/a6.exe
http://58.53.128.37/a7.exe
( W+ f+ y; h4 [  g" Whttp://58.53.128.37/a8.exe
% h# P6 r# k  Phttp://58.53.128.37/a9.exe
http://58.53.128.37/a10.exe
! g( r: x) J* Whttp://58.53.128.37/a11.exe
& w3 A( |' _! lhttp://58.53.128.37/a12.exe
http://58.53.128.37/a13.exe
( d7 K# P2 b& K8 m" O( b! Ohttp://58.53.128.37/a14.exe
http://58.53.128.37/a15.exe
http://58.53.128.37/a16.exe
http://58.53.128.37/a17.exe
http://58.53.128.37/a18.exe
http://58.53.128.37/a19.exe
& J% g/ U; B: b( y, O) ?1 S3 B. Thttp://58.53.128.37/a20.exe
http://58.53.128.37/a21.exe
2 y1 L1 g, }, w& K6 N0 L( r& ohttp://58.53.128.37/a22.exe
http://58.53.128.37/a23.exe
http://58.53.128.37/a24.exe
http://58.53.128.37/a25.exe
8 q* s+ F; k$ V" u: Ghttp://58.53.128.37/oko.exe

) g  V, C4 A  e1 ~; h7 i查杀难点：
5 ~/ E0 p1 k2 a4 n+ R& J, f1、c:\windows\system32\75132.dat和c:\windows\system32\urjuujdw.hew两个进程相互配合，指挥c:\windows\system32\msosdohs00.dll和c:\windows\system32\msosdohs01.dll插入系统核心进程、explorer.exe进程以及所有应用程序进程（包括安全软件的进程也被插入）。
2 R5 U1 q* I! v, Z5 H# Y. t
  E: {8 P- N5 T& r! u+ z  |2、explorer.exe被病毒替换。如果强制删除这个被病毒替换explorer.exe，及上面提到的病毒文件，桌面消失。即使注销当前用户，重新登录系统，也无法显示桌面。
: O6 l+ p6 V% G0 |
7 Z' L! p$ x  [" e1 e2 p3、此毒感染硬盘所有分区中的.exe、.htm、html文件。
4 b  w& F% z8 R. G  J! F
4、c:\windows\system32\文件夹、c:\windows\system32\drivers\文件夹、c:\windows\tasks\文件夹、当前用户临时文件夹中都有病毒文件。
: L1 ?7 @8 [# i( g) s4 `: p4 V
5、此毒貌似是针对SRENG的。中这堆病毒后，用户试图运行SRENG扫日志时，SRENG即刻被病毒删除。
3 a8 x# D# O" n( ~/ C
我在影子系统（全影模式）中运行过这个病毒样本，用Tiny全程监控可以获得此病毒群感染系统的全部信息（见附件图）。有了这些信息，可以用IceSword手工删除那堆病毒文件。被感染的.exe、.htm、html等，需用杀软处理（量太大）。
% S- A$ ^% q$ s  p' s- w
另：有人说此毒可以穿透影子系统2.8。全影系统运行病毒样本，重启后，被病毒替换explorer.exe以及病毒驱动C:\zzz.sys还在系统中。但是，我在全影模式下运行此毒，没有发现这个现象。重启后，系统是干净的。