返回列表 发帖

[病毒查杀] Reper.exe病毒以及专杀工具!

病毒名称:win32.troj.reper
影响系统:win9x / winnt
中文名称:“狂奔者”、“瑞普”
病毒类型:木马
威胁级别: ★★
病毒别名:trojan.reper[kv]

病毒行为:
      backdoor/reper“狂奔者”是一个主要通过移 动介质进行传播的后门程序。该后门在国外的传播情况十分严重,尤其是2005年3月8日及3月9日两日。目前在中国部分地区也有发生,尤其是湖北、浙江地区,但还未造成大规模的扩散。该病毒伪装成记事本文件,一旦并运行之后会将自己复制到系统的多个目录中。该病毒运用了多种常用的方法获得运行权。并在每个可写的逻辑磁盘的根目录生成autorun.inf文件,每次用户打开逻辑磁盘的时候病毒就悄悄地自动运行了。病毒每隔2秒左右就将自己加载到注册表的启动项,以使每次开机都运行病毒;病毒还修改文本文件的关联程序指向自身,这样用户每次打开文本文件的时候病毒又悄悄地运行起来。病毒会关闭windows 任务管理器,注册表编辑器,进程查看器,命令行窗口程序,进程名字中包含字符"进程"、"任务"、"毒"、"木"、"杀"、"task"、"proc"、"wom"、
"prcview.exe"、"doctor"、"kill"、等等的进程,这将关闭众多的反病毒软件,大大降低了中毒机器的安全性能,给其他病毒大开方便之门。病毒还激活guest帐户,添加一个管理员帐户,并且删除默认的管理员帐户"administrator",为黑客攻击打开后门。

1.病毒检查当前目录,如果是根目录,就创建explorer进程,打开当前目录;如果不是根目录,就创建互斥体nothing,防止多个实例同时运行

2.将自身复制为以下文件(路径是硬编码的,如过不存在就释放不成功):
%systemroot%\svchost.exe
%system%\n0tepad.exe
c:\documents and settings\all users\「开始」菜单\程序\启动\login.pif
c:\documents and settings\<当前用户名>\「开始」菜单\程序\启动\login.pif

修改文件c:\autoexec.bat内容。

并在每个可写的逻辑磁盘的根目录生成以下隐藏文件
reper.exe (该文件是病毒的副本)
autorun.inf

autorun.inf文件的内容为:
[autorun]
open=reper.exe

当用户打开磁盘的时候病毒就自动运行了。

3.修改注册表。
添加启动项:
hklm\software\microsoft\windows\currentversion\run
"services"="%systemroot%\svchost.exe"

修改文本文件关联程序为病毒文件:
hkcr\txtfile\shell\open\command\\

"默认"="%system%\n0tepad.exe %1"

4.创建两个线程,一个时钟。
1)一个线程用来关闭特定的进程:
regedit.exe
cmd.exe
ntvdm.exe

以及进程名中包含任意任意一下字符串的进程:
"task"
"proc"
"进程"
"prcview.exe"
"任务"
"毒"
"wom"
"木马"
"杀"
"doctor"
"kill"

2)另一个进程用来每2分钟运行一次c:\autoexec.bat。该文件被修改以后运行,将激活guest帐户,添加一个管理员帐户,并且删除默认的管理员帐户"administrator"。

3)设置时钟每隔1200毫秒进行一次复制文件和注册表修改。

软件查杀:
在一个blog上找到了专杀的工具,用起来不错,不过要反复点击很多次。
下载:此主题相关文件 191849.zip
若不行,用最新病毒库的瑞星杀毒软件2006在安全模式下杀毒。

手动杀reper病毒:
在未中毒的系统(或用干净的光盘启动)下删除(dos下不能用del命令,而应用deltree来删除):
1、伪装的n0tepad.exe--特征:大小为208kb(正常的为65kb)
2、c:\documents and settings\all users\「开始」菜单\程序\启动\startup.pif--特征:大小为208kb
3、每个可读写的逻辑磁盘的根目录下的2个隐藏文件:
reper.exe (该文件是病毒的副本)--特征:大小为208kb
autorun.inf
4、c:\windows\viewer.exe--特征:大小为208kb
删除后,重新启动winxp,发现一切正常;n0tepad.exe能正常使用,注册表也能打开了。
欢迎光临:逐梦论坛

下面引用由fox2828发表的内容:

好的 ,我试试

ok,能不能杀掉,都回个话啊。
欢迎光临:逐梦论坛

TOP

好的 ,我试试
我的签名太太太帅了,把老大都吓倒了,已至于都给我屏蔽了,唉,人帅、签名也帅,这个世界对我太不公平了@~@

TOP

返回列表

Powered by Discuz! 7.2   论坛QQ群:逐梦论坛群

© 2001-2021 Comsenz Inc. 鲁公网安备 37120302000001号