一 木馬行為

1 中毒現象（接收了最新照片和訪問黃色網站）

電腦桌面有免費電影、淘寶等四個快捷方式，無法刪除，金山急救箱無法打開，安全模式也無法啟動，但能正常上網，怎么辦呀，不想重裝系統，請各位大哥幫忙

2 中毒的方式模擬

用戶搜索人體藝術，我愛色色等關鍵字尋找到色情網站，然后為了點擊播放按鈕此時會下載名為處女噴水播放器的專用播放器（qvod圖標），用戶點擊以后感染 病毒（安裝過程中提示 程序錯誤~ (1x167925136)文件損壞，程序無法安裝！）

二 金山系列產品查殺效果

1 防御測試－金山衛士木馬防御可以攔截木馬運行
  
2 防御測試－金山衛士網址云安全可以攔截木馬下載
  
3 金山急救箱可以清理病毒添加的啟動項目

 如果您擔心系統被黑客攻占，苦于無處尋找殺毒軟件免費下載，不妨試試金山安全旗下的安全產品好了！

三 此次病毒的特性

1 病毒特征

系統runonce下面存在一個名為系統安全模塊(停止可能會引起系統崩潰)的啟動項目，指向文件system32.exe

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
<系統安全模塊(停止可能會引起系統崩潰)> [(Verified)深圳市迅雷網絡技術有限公司, 1, 0, 2, 50]

File: system32.exe
Size: 579272 bytes
File Version: 1, 0, 2, 50
簽名公司：ShenZhen Thunder Networking Technologies Ltd.
簽名時間：2009?年11月5日 11:39:06
MD5: FB58BD8118A7D7251179C276651DF7DB

2 病毒加載原理（原理流程見附件，核心的是可以繞過基于啟動項云安全檢測的技術，導致安全軟件無法發現潛在 的病毒木馬）

開機啟動以后通過系統runonce啟動項目啟動程序system32.exe（ThunderService，帶迅雷官方數字簽名，啟動項檢測 會把這項判斷為白文件），該文件會主動加載模塊XLBugHandler.dll（應該是錯誤收集的一個功能模塊，帶迅雷數字簽名，該文件實際負 責啟動病毒），該模塊加載以后捕獲到主程序異常生成dump文件，同時調用XLBugReport.exe上傳生成的dump文件，因為 ThunderService沒有檢查執行的XLBugReport.exe的文件是否安全因此直接導致加載偽裝的 XLBugReport.exe文件，用戶電腦中毒。

（1）黑客挖掘大型軟件存在的類似DLL挾持的漏洞，如必須加載的模塊，在某些情況下必定會加載的程序之類

（2）構造惡意軟件，存在隱患的正常文件（通常包含大型安全軟件廠商的數字簽名）+ 惡意構造的必須模塊（有些需要模擬導出表）

（3）寫入啟動項目，通常會使用“系統安全模塊(停止可能會引起系統崩潰)”，360系統關鍵服務(結束掉可能導致系統崩潰)，QQ安全組件 保鏢等作為啟動項的名稱，以避免被用戶人肉識別或者欺騙用戶不卸載

（4）目前手頭收集的已經被利用的正常軟件見附件（360，迅雷，QQ 相信有很多很多的軟件都存在這樣的問題，比如這幾天流行的關于QQ游戲的數字簽名是2007年，安全廠商，軟件廠商很難去避免已經釋放版本被利用）

3 偽XLBugReport.exe主要行為

（1）修改常見瀏覽器的配置文件，將主頁修改為流氓作者制定的網址導航 http://www.01169.com/?vip 或者http://www.4845.com/?bddd

TtConf.dat（騰訊TT瀏覽器）
360se.ini（360瀏覽器）
TheWorld.ini(世界之窗瀏覽器)

（2）刪除桌面快捷方式，安全軟件、瀏覽器、其他流氓創建的快捷方式’

其他流氓軟件創建的快捷方式：Internet Explorer.url，淘寶商城.lnk
安全軟件快捷方式：360安全衛士.lnk，360軟件管家.lnk，360殺毒.lnk，瑞星殺毒軟件.lnk，修復瑞星軟件.lnk，賬號保 險柜.lnk
其他瀏覽器快捷方式;Mozilla Firefox.lnk

（3）創建桌面惡意圖標

淘寶-購物.lnk（目標："C:\Program Files\Internet Explorer\IEXPLORE.EXE" C:\WINDOWS\web\Index.htm）
Internet Explorer.lnk
海西導航
 
（4）添加收藏夾

淘寶商城
單機游戲下載-咪咪游戲網[www.mimiyx.com]
文章閱讀啦-[精彩美文在線閱讀-心情日記]
淘寶網
愛愛奇網址導航
美女帥哥在線靚照-[小小非主流]
非主流圖片全集-[非主流星圖片網]
圖魅藝術美圖

（5）創建名為系統安全模塊(停止可能會引起系統崩潰)的開機啟動項目

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
"系統安全模塊(停止可能會引起系統崩潰)"="D:\\Windows Media Player\\Program Files\\system32.exe"

金山衛士查殺木馬能力更強、檢測漏洞更快、體積更小巧的免費安全軟件。它獨家采用雙引擎技術,云引擎能查殺上億已知木馬，獨有的本地V10引擎可全面清除感染型木馬；漏洞檢測針對windows7優化，速度比同類軟件快10倍；更有實時保護、軟件管理、插件清理、修復IE、啟動項管理等功能，全面保護您的系統安全。點擊下載金山衛士>>