20CN网络安全小组论坛 - 病毒专区 - 4427.net???病毒？恶意代码？

论坛: 病毒专区标题: 4427.net???病毒？恶意代码？

作者: beamelf [beamelf]

论坛用户

我的IE的主页被改成4427。NET且IE的属性是灰色不可改的。
在注册表里进行了删除，修改，可回头打开IE，还在。但是注册表里已经没有了。
我去玩QQ时，又发现，它有点像QQ病毒，查一下又没毒，进程里也找不到奇怪的程序，这是什么啊，跪求大虾救救啦。

地主发表时间: 05-12-03 14:43

回复: beamelf [beamelf]

论坛用户

刚才看了阿Q的文章，注册表又改了N次，没反应啊。
头好大。

B1层发表时间: 05-12-03 15:33

回复: pjstart [pjstart]

论坛用户

用3721试，有可能会好用的，

B2层发表时间: 05-12-04 08:28

回复: linlong [linlong]

论坛用户

为什么我打不开这个网址呢？
好像对我这台计算机没有反应呀，
我想你是安装了插件吧，{03C543A1-C090-418F-A1D0-FB96380D601D}
你去注册表这里找找可能就会有了~

B3层发表时间: 05-12-04 12:25

回复: beamelf [beamelf]

论坛用户

3271装了没反应，江民什么的也杀不出毒来，没办法显示隐藏文件。
上网查了说是蠕虫，可下了蠕虫专杀还是没反应。头好大。IE修复专家什么的，都试了。

B4层发表时间: 05-12-04 12:59

回复: linlong [linlong]

论坛用户

加我QQ，远程帮你搞定23248692

B5层发表时间: 05-12-04 13:33

回复: beamelf [beamelf]

论坛用户

上网查了下sonudmon - sonudmon.exe - 进程信息

进程文件： sonudmon 或者 sonudmon.exe
进程名称： Win32.Worm.Lewor.S

描述：
sonudmon.exe是Win32.Worm.Lewor.S蠕虫病毒，建议立即删除。

出品者：未知N/A
属于： Win32.Worm.Lewor.S

系统进程：否
后台程序：是
使用网络：是
硬件相关：否
常见错误：未知N/A
内存使用：未知N/A
安全等级 (0-5): 4
间谍软件：否
Adware: 否
病毒：是
木马：是

可我找不到相应的杀毒软件，
再者，我已经在我的系统中删除了SONUDMOD。EXE这一文件，注册也改了，都好好的，
没上网都没事，一上网又是中毒样了。

而且，我发现用系统恢复没办法使得文件夹属性修复。还是没办法显示隐藏文件。

B6层发表时间: 05-12-05 12:41

回复: beamelf [beamelf]

论坛用户

在LINUX外文网站上有查到他的其他信息，比如是零五年九月二十三日出现。
- %windir%sonudmon.exe
- %sysdir%dsek.exe

Startpage 变成在IE XXX 站点。

Descripci3on t3ecnica:
这实际上是trojan 写在修改启动页在IE 和设法下载和安装其它malware 的特尔斐。

起动, 它修改启动页, URL 历史和查寻URL 在IE 指向 XXX 站点(www.mmmmmm.net) 。它登记在 HKCUSoftwareMicrosoftWindowsCurrentVersionRun 钥匙之下在系统登记。它复制在窗口和System32 目录在文件名之下列出在" 症状之下" 。它试图下载和开始文件命名" tmdown.exe " 从XXX 站点, 但这个文件不再存在那里和病毒退出与错误(这个被下载的文件不可执行, 但是它跑无论如何) 。

它创造有各种各样作用的几个定时器 :

- 他们的当中一个保留一个眼睛在IE 设置, reseting startpage 对他自己如果这名用户修改它
- 另外一设法下载和开始更多malware
- 并且有扫描为各种各样节目窗口的定时器(以名字 QQKav, QQAV, TKillqqvir, ThunderRT6FormDC, Upiea, joyiex, ddqxyz a.o 。) 并且送他们WM_QUIT 信(因此结束那些节目) 。
病毒并且使失去能力被显示当rightclicking 系统酒吧, 设法以这举止防止它自己的终止的" 任务经理" 捷径。它同联系在一起与缺省举动为文本文件(txt 引伸) 在登记, 所以每当文本文件是开放, 病毒跑

这个trojan 并且登记作为服务过程。
求求大家想想办法999999啦

B7层发表时间: 05-12-05 12:48

论坛: 病毒专区