病毒安全知识,电脑网络技术,手工杀毒方法,答疑解决笔记

导航

« 手机僵尸,全民恐慌?试用合并后的“可牛” »

借U盘传播的scsi4dos.sys病毒

  同事的电脑上中的这种病毒,通过U盘传播,在中毒电脑上插入U盘,就会生成autorun.inf文件(在中毒电脑的硬盘上没有发现autorun.inf),其内容如下:

[AUToRUN]
sHEll\open\cOMmand=...\RECYCLER
SHeLl\Explore\cOmmand=...\RECYCLER
shell\finD\CoMMand=...\RECYCLER

同时生成以两个点为名称的特殊文件夹(如上面的..),两个点的文件夹只能在FAT32格式的磁盘上建立且为隐藏,即使打开显示隐藏与系统文件的选项也看不到,但在命令行窗口下用dir命令却可以看到它,而且似乎只感染U盘中的EXE文件,一旦被感染的U盘中的程序被运行,就在其插入的电脑上生成病毒服务及其文件scsi4dos.sys,在临时文件夹temp中还会释放出被感染文件的原程序与tmp~logo.gif、tmp~setup.exe。卡巴斯基或可牛命名其为Trojan.Win32.Scar.thl。

  清除建议方案:

1.删除以下文件:
  c:\windows\system32\drivers\scsi4dos.sys
2.删除病毒服务项:
[Small Computer System Interface Driver / ScsiDrv][Stopped/Auto Start]
    <C:\windows\system32\drivers\scsi4dos.sys>

  发现过程:这个scsi4dos.sys服务一开始我没有能够认出来,使用SREng检查时以为是什么U盾的驱动,使用XueTr检查时却发现其带有ProcessMonitor的信息,因为我当时正用ProcessMonitor检查autorun.inf是由什么生成的,后来发现在另一台电脑上这个scsi4dos.sys在XueTr中又变成了税务软件,不知道是病毒自己变的(scsi4dos.sys有调用查看文件版本信息),还是XueTr的BUG,至少在SREng中一直都是空白的文件信息。(2010-12-10补充:今天发现scsi4dos.sys的文件版本信息中竟然是ghost的信息,看来它确实是有盗用正常软件文件信息的行为,而且是不固定的,视其感染的EXE文件而变,那个被感染的U盘中有这个GHOST.exe文件,综合上面的情况,scsi4dos.sys的文件信息也在不断变化以增加其隐蔽性)

  由于其隐蔽性,在一开始没有发现scsi4dos.sys的情况下(ProcessMonitor只发现svchost.exe,而确定不了上级调用程序),直到通过开始-运行,输入N:\...\(N是U盘的盘符),进入那个两个点的文件夹,用记事本打开RECYCLER(当然不是回收站),才发现其中的scsi4dos.sys。而且里面还有一个百度空间的某网址,难道是刷流量的?而且就网络分析来看,确实是访问多个网址的迹象。
(更多信息参考:
http://www.sunbeltsecurity.com/cwsandboxreport.aspx?id=12068817&cs=CB9F2633D0AC1B2B2D3A97E46FC95523
http://www.threatexpert.com/report.aspx?md5=cd54326f52dfebc15853956792e9844e)

  由于当时杀毒软件还不能识别和清除该病毒,只好先按上面的方法删除服务与文件,并建立同名的文件scsi4dos.sys阻止其重新生成(这一点在XueTr中可以做到,在“文件”中找到要删除的文件,右击-选择“删除后阻止文件再生”。然后选择强制删除,就会建立一个同名的0字节的文件)。然后删除U盘上的autorun.inf(不要通过双击进入U盘,也可以用XueTr来删除)与两个点的文件夹(删除方法,开始-运行-CMD,运行命令:rd/s/q N:\...\),最后马上重启一下,否则病毒还在内存中,在重启前插入U盘还会感染。

  重启后,清理临时文件夹(剩下的残留文件),对于U盘上被感染的EXE文件不要运行,在你的杀毒软件能够识别和清除病毒修复原文件之前,如果U盘上的文件不重要,可以全部删除甚至格式化,或者只删除所有的EXE文件,如果再细一些,可以搜索U盘,找出那些修改时间与病毒生成时间一致的EXE文件,只删除它们(事实上并不是所有的EXE文件都会被感染,不知何故,仍然有少数的几个EXE文件能逃过此劫,但绝大多数EXE文件是躲不过去的),其它文件类型可以保全。

  如果杀毒软件升级后可以识别和清除病毒,那就简单了,不过直到我遇上这种病毒一周后,一些杀毒软件还只是删除而不是清除病毒,那么被感染的EXE文件就不能修复,只会被杀毒软件直接删除,如金山毒霸(似乎只能认出病毒原文件。被感染的文件还认不出来)、可牛(也许卡巴斯基也是吧,可牛用的可是它的引擎),另外微点也能在一开始时识别其为未知木马,并阻止scsi4dos.sys服务生成,但微点对于被感染的文件也只有删除,没有清除修复功能(其主防机制决定的)。


>> 除非说明均为原创,如转载请注明来源于http://www.stormcn.cn/post/871.html

发表评论(无须注册,所有评论在审核通过后显示):

◎欢迎参与讨论,请在这里发表您的看法、交流您的观点。

  • 微信订阅号
    微信订阅

最新发表

本站出现的所有广告均不代表本人及本站观点立场 | 关于我 | 网站地图 | 联系邮箱 | 返回顶部
Copyright 2008-2018 www.stormcn.cn. All Rights Reserved. Powered By Z-Blog. 闽ICP备09000343号

闽公网安备 35010202000133号