警惕混合型新病毒　超越機器狗的NS下載器

News

警惕混合型新病毒　超越機器狗的NS下載器

【賽迪網-IT技術報道】近期發現了一個惡劣的木馬下載器，目前截獲版本號為NSDownLoader25Vip20081130。

奧運之後有較長一段時間木馬產業鏈的從業者相對比較沉靜，出現的病毒也沒有多少新意，而這個NS下載者看來要打破這個短暫的沉靜了。

據分析，這個NS下載器繼承了機器狗病毒穿還原卡的功能，利用ARP攻擊在局域網傳播。同時，病毒還有掃蕩波的特點，攻擊沒有修補MS08-067號漏洞的Windows系統。當然利用USB隨身碟自動運行功能傳播，已經差不多成為病毒的標配。

為了下載更多木馬，類似的下載者都會選擇和AV終結者一樣的手法－－映像劫持或利用自身驅動強行關閉殺毒軟體進程，修改hosts文件阻止用戶訪問殺毒廠商的網站，影響殺毒軟體的升級。

綜合看來，這個病毒是集多種主流病毒木馬技術於一體的混血兒，目前這個混血兒還在不斷更新中，預計中招的電腦還會增加。

對付這個混血兒，用金山系統急救箱會更加簡單一些。目前急救箱還不能一次重啟就解決，先修復一部分再用清理專家來完成後續的修復工作。

急救箱下載地址

http://bbs.duba.net/thread-21988813-1-1.html

手動刪除病毒

(a)刪除文件（使用頑固文件刪除工具才可以刪除）

%sys32dir%/Nskhelper2.sys%sys32dir%/appwinproc.dll%sys32dir%/NsPass0.sys%sys32dir%/NsPass1.sys%sys32dir%/NsPass2.sys%sys32dir%/NsPass3.sys%sys32dir%/NsPass4.sys

每個驅動器下，存在autorun.inf和對應的system.dll

(b)從dllcache目錄下修復系統文件。

%sys32dir%/schedsvc.dll%sys32dir%/appmgmts.dll%sys32dir%/srsvc.dll%sys32dir%/w32time.dll%sys32dir%/wiaservc.dll

(c)刪除註冊表

HKLM/SYSTEM/CurrentControlSet/Services/NsRk1「ImagePath」 "/??/C:/WINDOWS/system32/Nskhelper2.sys"HKLM/SYSTEM/CurrentControlSet/Services/NsPsDk00「ImagePath」 "/??/C:/WINDOWS/system32/NsPass0.sys"HKLM/SYSTEM/CurrentControlSet/Services/NsPsDk01「ImagePath」 "/??/C:/WINDOWS/system32/NsPass1.sys"HKLM/SYSTEM/CurrentControlSet/Services/NsPsDk02「ImagePath」 "/??/C:/WINDOWS/system32/NsPass2.sys"HKLM/SYSTEM/CurrentControlSet/Services/NsPsDk03「ImagePath」 "/??/C:/WINDOWS/system32/NsPass3.sys"HKLM/SYSTEM/CurrentControlSet/Services/NsPsDk04「ImagePath」 "/??/C:/WINDOWS/system32/NsPass4.sys"

(d)修復映像劫持。

(e)清除%temp%目錄。

(f)修復hosts文件。

安全建議：

1.務必使用金山清理專家掃瞄並修復所有系統漏洞。

2.局域網用戶務必安裝金山ARP防火牆，防止局域網內其它電腦中毒導致你瀏覽任何網頁也跟著下載病毒。

3.及時升級殺毒軟體，以攔截該病毒的已知變種。

4.盡量不去瀏覽不太可靠的web站點，網頁掛馬是這類病毒傳播的主要方式之一。

5.禁用自動播放功能，避免在插入USB隨身碟或移動硬碟時中毒。

如果發現USB隨身碟的autorun.inf（可以用記事本打開這個文件）中含以下內容，就有可能中了這個NS下載器，推薦使用金山清理專家在線診斷，以發現病毒入侵的線索。

[autorun]shell/open/command=rundll32 system.dll,exploreshell/explore/command=rundll32 system.dll,explore

如果覺得自己處置有困難，可以在病毒求助專區提問求助。

(

回上頁回首頁

免費客服專線

0800-600-386

【直營地點】
台北資料救援：115台北市南港區三重路19-11號E棟(南港軟體園區)
新竹資料救援：300新竹市東區光復路二段156號
新竹科學園區資料救援：新竹科學工業園區新安路5號4樓 (鴻海大樓裡面)
台南資料救援：700台南市中西區北門路一段57號 TEL:06-505-0005

警惕混合型新病毒 超越機器狗的NS下載器

警惕混合型新病毒　超越機器狗的NS下載器