科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道终端安全ntkrnlpa.exe等病毒手动清除解决方案

ntkrnlpa.exe等病毒手动清除解决方案

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

该样本是使用“VC++”编写的“蠕虫类病毒”,长度为“24,576”字节,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是注入系统进程,以收集所需要的信息连接网络进行病毒相关操作,并自动运行,修改注册表项。

来源:中国IT实验室收集整理 2011年10月9日

关键字: 病毒 木马清除

  • 评论
  • 分享微博
  • 分享邮件

  病毒症状:

  该样本是使用“VC++”编写的“蠕虫类病毒”,长度为“24,576”字节,使用“exe”扩展名,通过文件捆绑、网页挂马、下载器下载等方式进行传播。病毒主要目的是注入系统进程,以收集所需要的信息连接网络进行病毒相关操作,并自动运行,修改注册表项。

  当用户计算机感染此木马病毒后,用户的电脑速度变得缓慢,并且发现未知进程等现象。

  感染对象:

  Windows 2000/Windows XP/Windows 2003/Windows Vista/ Windows 7

  传播途径:

  文件捆绑、网页挂马、下载器下载

  病毒分析:

  1.病毒获得C:\WINDOWS目录路径,并在该目录\systrm32下建立文件(伪装成system32文件夹),及设置系统隐藏属性。

  2.病毒在自己创建的目录下将病毒自身拷贝并重新命名为:C:\WINDOWS\systrm32\ntkrnlpa.exe.比较病毒是否注入svchost.exe。

  3.如果不成功,先删除文件"C:\WINDOWS\systrm32\svchost.exe" 且将病毒自身拷贝并重新命名为:C:\WINDOWS\systrm32\svchost.exe,以隐藏窗口的形式执行之。病毒建立批处理文件。bat,以隐藏窗口的形式执行之。该批处理文件的作用是:删除病毒自身,删除批处理,增加注册表信息:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPS

  名称:ImagePath

  数据:C:\WINDOWS\systrm32\ntkrnlpa.exe

  以服务的方式启动该病毒。以命令设置sc config UPS start= auto启动方式。

  4.如果成功,病毒建立进程快照,遍历进程名为:rfwsrv.exe,找到以后提升该进程访问的权限。然后病毒建立互斥体变量名:"NBtk",防止程序多次运行。

  5.病毒建立窗口信息,通过消息机制,传递信息,然后启动网络连接,以socket,connect,send,revc函数进行发送数据包

  6.病毒建立多个线程函数,建立网络连接,获取用户的操作系统版本和网卡地址,内存大小等信息向黑客指定网址发送。

  病毒创建文件:

  %SystemRoot%\systrm32\ntkrnlpa.exe

  %SystemRoot%\systrm32\svchost.exe

  X: .bat(与病毒同一目录)

  病毒创建注册表:

  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPS

  名称:ImagePath

  数据:C:\WINDOWS\systrm32\ntkrnlpa.exe

  病毒访问网络:

  swka2.3322.org:8192

  手动解决办法:

  手动删除文件

  1.删除 %SystemRoot%\systrm32\ntkrnlpa.exe

  2.删除 %SystemRoot%\systrm32\svchost.exe

  手动删除注册表

  1.删除 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPS

  名称:ImagePath

  数据:C:\WINDOWS\systrm32\ntkrnlpa.exe

  变量声明:

  %SystemDriver%       系统所在分区,通常为“C:\”

  %SystemRoot%        WINDODWS所在目录,通常为“C:\Windows”

  %Documents and Settings%  用户文档目录,通常为“C:\Documents and Settings”

  %Temp%           临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”

  %ProgramFiles%       系统程序默认安装目录,通常为:“C:\ProgramFiles”

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章