· 没有路由密码权限时的鸽 08-23 · 上网安全 Vista自我防范 10-11 · 让濒临崩溃的Windows XP 10-11 · 有备无患，快速自制救急 10-11 · 要你好看!Windows看图工 10-11 · 空间赞助网提供不同类型 10-11 · 讨论net.exe和net1.exe的 10-10 · 让3389远程桌面传输更通 10-10 · 巧妙入侵渗透赌博站 10-10 · Aspx空间扫权限工具 10-10 · Windows2003最新提权工具 10-10 · 易淘乐提供100M免费全能 10-10 · 系统开机密码忘了不着急 10-09 · 中意网络提供免费100M免 10-09 · 与众不同 Windows XP开始 10-08 · 让桌面图标翻跟斗 在XP上 10-08 · 上海宽元站长资助计划-提 10-08 · 个性化Windows XP的任务 10-07 · 趣盘提供3G免费网络硬盘 10-07 · 秀山热线提供200MB免费全 10-07 · 一次艰辛的提权过程 10-06 · 成功入侵IT大卖场的渗透 10-06 · mysqlhack- MYSQL利用工 10-06 · lanker一句话PHP后门客户 10-06 · WIXI提供3G免费多媒体网 10-06 · 新人网络提供100M/ftp免 10-06 · 如何利用QQ带来高流量 10-05 · UuShare提供免费网络文件 10-05

 

　　
“幽灵”分析报告：

　　Win32.Troj.PcGhost.a
　　中文名：“幽灵”
　　这是一个能删除系统安全模式的恶意病毒，它还能通过驱动程序的HOOK隐藏自己，并下载广告和病毒程序，使用户的计算机受到更多广告程序的干扰。

 

　　1．拷贝与释放文件病毒能把自己拷贝到这里： %ProgramFiles%Common Files23OSA.EXE
　　并释放3个文件
　　%ProgramFiles%Common Files23OFFICE.dll (Win32.Troj.PcGhost.a.40960)
　　%ProgramFiles%Common Files23MsOffTDI.sys (Win32.Troj.PcGhost.a.5120)
　　%ProgramFiles%Common Files23AnRegProt.sys (Win32.Troj.PcGhost.a.6016)
　　之后添加一个快捷方式
　　C：Documents and SettingsAll Users开始菜单程序启动Microsoft Office 23.lnk
　　该LNK指向%ProgramFiles%Common Files23OSA.EXE，使病毒能随Windows启动.

 

　　2．驱动级和用户级的Rootkit
　　病毒会同时使用驱动级(Ring0)与用户级(Ring3)的Rootkit技术隐藏自己的信息，包括程序文件，进程等，使用户无法察觉病毒的存在。
　　23AnRegProt.sys (Win32.Troj.PcGhost.a.6016)
　　这个驱动文件负责进行函数欺骗的，使特定的文件不显示：
　　该驱动HOOK了这几个函数：
　　ZwOpenKey
　　ZwSetValueKey
　　ZwCreateKey
　　ZwQueryDirectoryFile
　　一但以上函数返回值有以下字符时，就返回失败，使系统误以为不存在这些文件
　　230SA.EXE
　　23OFFICE.DLL
　　MICROSOFT OFFICE 23.LNK
　　这样使得在注册表，文件管理器等工具都无法发现病毒文件.

　　23MsOffTDI.sys (Win32.Troj.PcGhost.a.5120)
　　这个文件负责锁定23AnRegProt.sys与自己，防止被用户或其它软件删除。

　　3．破坏安全模式
　　病毒会把安全模式的注册表键值删除，键值如下：
　　HKEY_LOCAL_MACHINESYSTEMCurrentControlSetSafeBoot
　　病毒把该键值下面全部项都删除，使用户无法进入安全模式，若用户强行进入安全模式的话会导致系统蓝屏崩溃。

 

　　4．干扰IceSword运行
　　病毒会阻止版本号为1.18与1.20的IceSwrod驱动文件释放，使这两个版本的IceSwrod无法启动。

 

　　5．下载广告
　　病毒会开启一个IE进程(进程使用Rootkit技术隐藏)，并读取一网址上的内容，
　　该网址为http：//t1.*******.net/jw/ini/rules.ini
　　里面的内容为：
　　----------------------------------------------
　　[Version]
　　Item0=20061201
　　Item1=20061202
　　Item2=20061201

　　[File]
　　Item0=http：//61.182.**.**/xzq/30009.exe
　　Item1=http：//61.182.**.**/new/Setup.exe
　　Item2=http：//61.182.**.**/new/setie.exe

　　[Size]
　　Item0=62243
　　Item1=263531
　　Item2=227446
　　并下载里面的文件到C：Documents and SettingsAll UsersApplication DataADSL之后运行这些文件，其中30009.exe是病毒文件，病毒名为Win32.Troj.Dropper.rk.62243。

 

　　此病毒文件能重新释放Win32.Troj.PcGhost.a病毒，据INI文件分析，该病毒还可能出现新的变种，病毒作者很有可能会在近期放出不同的变种。而Setup.exe与setie.exe则是广告程序，它使用户的计算机受到广告程序的干扰，严重影响了用户的工作。