网上“晒”病毒 “磁碟机”详尽分析报告

　　(1)WM_QUERYENDSESSION：当收到该消息时，程序会删除注册表SOFTWAREMicrosoftWindowsCurrentVersionRun项下的所有键值。

　　(2)WM_TIMER：该程序会设置一个时钟，每隔0.2秒查找“MCI Program Com Application”窗口，如果找不到则运行病毒程序。

　　(3)WM_CAP_START：当收到该消息时，向其发送退出消息。

　　3．把lsass.exe拷贝到C盘根目录下命名为037589.log，同时把该文件拷到启动目录下实现自启动。

　　dnsq.dll通过挂接全局消息钩子，把自己注到所有进程中，该动态库主要用来HOOK API和重写注册表。动态库被加载后会进行以下操作：

　　(1)判断自己所在进程是否是lsass.exe、smss.exe、alg.exe，如果是则退出。

　　(2)HOOK psapi.dll中EnumProcessModules、kernel32.dll中 OpenProcess和CloseHandle这几个API使得杀毒软件无法查杀病毒进程。

　　(3)遍历进程如果进程名为lsass.exe、smss.exe、alg.exe则直接退出，如果是其他进程则创建一个线程，该线程每隔2秒进行以下操作：

　　a.修改以下键值使得用户无法看到隐藏的受保护的系统文件

　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced

　　ShowSuperHidden = 0

　　b.删除以下注册表键值使得用户无法进入安全模式

　　HKEY_LOCAL_MACHINE SYSTEMControlSet001ControlSafeBootMinimal

　　{4D36E967-E325-11CE-BFC1-08002BE10318}

　　HKEY_LOCAL_MACHINE SYSTEMCurrentControlSetControlSafeBootMinimal

　　{4D36E967-E325-11CE-BFC1-08002BE10318}

　　HKEY_LOCAL_MACHINE SYSTEMControlSet001ControlSafeBootNetwork

　　{4D36E967-E325-11CE-BFC1-08002BE10318}

　　HKEY_LOCAL_MACHINE SYSTEMCurrentControlSetControlSafeBootNetwork

　　{4D36E967-E325-11CE-BFC1-08002BE10318}

　　c.删除以下注册表项，使得镜像劫持失效

　　HKEY_LOCAL_MACHINE SOFTWAREMicrosoftWindows NTCurrentVersion

　　Image File Execution Options

　　d.读取以下注册表键值，判断当前系统是否允许移动设备自动运行，如果不允许则修改为允许

　　HKEY_LOCAL_MACHINE SoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

　　NoDriveTypeAutoRun

　　e.修改以下注册表项使得手动修改以下键值无效

　　HKEY_LOCAL_MACHINE SOFTWAREMicrosoftWindowsCurrentVersionExplorer

　　AdvancedFolderSuperHiddenType = radio

　　f.添加以下注册表项使得开机时，系统会把该动态库注到大部分进程中

　　HKEY_LOCAL_MACHINE SOFTWAREMicrosoftWindows NTCurrentVersion

　　Windows AppInit_DLLs = %SYSTEM%dnsq.dll.

　　g.通过calcs命令启动病毒进程得到完全控制权限，使得其他进程无法访问该进程。

　　h.查找带以下关键字的窗口，如果找到则向其发消息将其退出：

　　SREng 介绍、360safe、木、antivir、…

　　netcfg.dll主要用来下载文件，动态库被加载后会从以下网址下载病毒程序

　　hxxp://js.k0102.com/data.gif，查找窗口”MCI Program Com Application”如果该窗口不存在则运行下载的程序。