仙桃信息港

当前位置:

灰鸽并未退炪江湖新版本采用进程内容替换啝

2019/10/13 来源:仙桃信息港

导读

灰鸽子并未退出江湖,新版本采用进程内容替换和进程监视技术来源:铁军的杀毒博客继灰鸽子木马宣称退出江湖之后的一段时间内,金山反病毒中心截获

灰鸽子并未退出江湖,新版本采用进程内容替换和进程监视技术

来源:铁军的杀毒博客继灰鸽子木马宣称退出江湖之后的一段时间内,金山反病毒中心截获的灰鸽子相关病毒,主要是以加壳做免杀为主

。上周末,金山反病毒中新截获一重大变化的灰鸽子新变种

,证实灰鸽子并未退出江湖,在经过短暂的静默之后,正在图谋收复失地。

新版灰鸽子的主要更新有:

采用进程内容替换技术和双进程互相监视技术,大大提高自我保护的能力;

进程内容替换是指:病毒启动一个e 进程,然后把该进程的内容替换为病毒进程的内容。从而具备更深的隐藏性。

进程互相监视:病毒此次启动了e和e(计算机)两个进程,并都使用了进程内容替换技术,将这两个进程替换为病毒进程。此时内存中存在两个病毒进程,它们会相互守护,当发一其中任意一个被结束时,未被结束的进程会将其重新启动。

据金山反病毒中心监测的结果,目前该变种感染量还较小,但可能成为AVKiller(AV终结者)之类的木马下载器重点传播的后门程序。也就是说,新版灰鸽子可能会和AV终结者狼狈为奸

,对电脑用户造成严重的安全威胁。提醒各位友,访问下载AV终结者专杀工具,检查是否遭受“AV终结者”入侵,从而保证杀毒软件处于正常工作状态。

以下是该病毒的详细分析报告:

这是一个Windows平台下的黑客病毒,中毒后,病毒会连接到远程的黑客主机,使用户机器完全受控于黑客

。黑客可以查看、下载中毒机器上的任意文件,记录用户所有电脑操作,盗取用户号码、银等信息等。当用户主机连有摄像头时,黑客甚至可以通过摄像头对用户进行远程监视,造成用户数据、隐私泄露,危害极大。

1、将自身伪装成以下伪系统正常程序:%systemdir%e系统分区:Program FilesCommon FilesMicrosoft SharedMSInfo_e

2、添加如下病毒服务:服务名: Windows-UP显示名: Windows-UP_2007_71服务描述: 系统安全补丁自动更新服务文件:%systemdir%e

3、尝试删除的键盘驱动文件s。

4、创建两个隐藏进程:%systemdir%e(系统自带的计算器进程) 和 系统分区:program filesinternet E(IE进程),将这两个进程的代码替换成自己的病毒代码然后执行,这两个进程会互相守护。

5、病毒发作时,会主动连接病毒作者的控制端,成功连接病毒作者的控制端后,病毒作者能够实时获取用户屏幕内容、实时监视/控制用户摄像头、记录中文聊天记录、查看/下载用户机器上的任意文件、查看/终止用户任意进程,也能够控制被感染机器关机或重启。

有赞微商城平台登录
微分销管理系统
怎样进入有赞微商城
标签

友情链接