Nitip.exe[U盘病毒]

这是一个用VB编写的病毒，行为有点类似落雪，处理起来比较麻烦，没有下载行为，作者的目的似乎只是为了炫耀自己的技术

具体分析：
File: Nitip.exe
Size: 47616 bytes
File Version: 1.00
Modified: 2008年2月28日, 12:04:14
MD5: A1E036A64AFDD8F89B434CC03F418867
SHA1: 553DDACA9B5CEEF95EA4D265D35069C3459BA4EC
CRC32: 386A5FAD

1.病毒伪装成文件夹图案诱使用户点击
运行后，衍生如下文件或者副本：
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\CSRSS.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\LSASS.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\SERVICES.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\SMSS.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\WINLOGON.EXE
C:\Documents and Settings\用户名*****.exe（*****代表随机字符）
C:\dago\****.exe（****代表随机字符）
C:\***** 用户名.exe（*****代表随机字符）
C:\WINDOWS.exe
C:\WINDOWS\system32\\Media\Windows.cmd
C:\WINDOWS\User\.exe
C:\WINDOWS\system\server.exe
C:\WINDOWS\Dago\Dago.exe

各个分区下面生成一个Dago的文件夹和一个***** 用户名.exe（*****代表随机字符）生成的病毒体

2.试图删除下面目录中的文件
C:\Progra~1\AntiViralToolkitPro\*.*
C:\Norman\*.*
C:\Progra~1\Norman\*.*
C:\Progra~1\Mcafee\McafeeVirusScan\*.*
C:\Progra~1\NortonAntiVirus\*.*
C:\Progra~1\NetworkAssociates\Virusscan\*.*
C:\Progra~1\NetworkAssociates\Virusscan\*.*
C:\windows\system32\gpedit.msc
C:\Program Files\Kaspersky Lab\KasperskyAnti-VirusPersonal Pro\*.*
C:\Program Files\Kaspersky Lab\KasperskyAnti-VirusPersonal\*.*

3.添加映像劫持项目
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe
劫持到

4.操作注册表，禁用注册表编辑器，任务管理器，cmd等常用工具，并隐藏“文件夹选项”，隐藏文件扩展名
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableTaskMgr: 0x00000001
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system\DisableRegistryTools: 0x00000001
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\NoFolderOptions: 0x00000001
HKU\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableCMD: 0x00000001
HKU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt: 0x00000001

之前释放了C:\WINDOWS.exe，而且把真正的C:\WINDOWS目录隐藏了，用户则很容易会点击伪装的Windows文件夹（病毒文件）

5.修改C:\windows\system32\Oeminfo.ini修改电脑的OEM信息
并写入如下字样：
Your computer has been infected with Dago
www.geocities.com/evanta44/
buat ta tau!!!

6.修改IE主页为www.geocities.com/evanta44/，以及IE浏览器的标题为Dago Dago Dago
HKU\Software\Microsoft\Internet Explorer\Main\Start Page: "www.geocities.com/evanta44/"
HKU\Software\Microsoft\Internet Explorer\Main\Window Title: "Dago Dago Dago Dago"

7.更改C:\WINDOWS的目录属性为隐藏

8.查找类名为#32770的窗口并通过查找窗口名称关闭某些软件，例如
HijackThis-v1.99.1
Windows Task Manager（任务管理器）

9.利用多种方式实现开机启动
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <SQL><C:\WINDOWS\system\server.exe> []
    <User><C:\WINDOWS\User\.exe> []
    <Winlogon><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\WINLOGON.EXE> []
    <Services用户名><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\SERVICES.EXE> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <用户名 di Dago><C:\WINDOWS\Dago\Dago.exe> []
    <CueX44><C:\WINDOWS\Dago\Dago.exe> []
    <Csrss><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\CSRSS.EXE> []
    <Lsass><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\LSASS.EXE> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
    <shell><Explorer.exe "C:\WINDOWS\system32\\config\systemprofile\Local Settings\Application Data\tic.exe"> [N/A]
    <Userinit><C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\system32\\Media\Windows.cmd> [N/A]

10.修改默认的屏幕保护程序为C:\WINDOWS\system32\evanta44.SCR（病毒文件）
[HKEY_CURRENT_USER\Control Panel\Desktop]
<SCRNSAVE.EXE><C:\WINDOWS\system32\evanta44.SCR> [N/A]（随机文件名）

解决方法：
下载sreng:http://www.skycn.com/soft/23312.html#download
Icesword：http://mail.ustc.edu.cn/~jfpan/download/IceSword122cn.zip

1.在桌面上单击鼠标右键－属性－屏幕保护程序，记住默认的屏幕保护程序的名字，本例中为evanta44

解压Icesword到一个文件夹，运行Icesword.exe
结束如下进程
C:\WINDOWS\system32\evanta44.SCR（由刚才记住的屏保程序名称为准）
C:\WINDOWS\system\server.exe
C:\WINDOWS\User\.exe
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\WINLOGON.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\SERVICES.EXE
C:\WINDOWS\Dago\Dago.exe
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\CSRSS.EXE
C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\LSASS.EXE
C:\WINDOWS\system32\\config\systemprofile\Local Settings\Application Data\tic.exe
C:\WINDOWS\system32\\Media\Windows.cmd

或者查找所有图标为文件夹样子的进程，依次结束即可

打开我的电脑，点击菜单栏下方的“搜索”按钮
并设定如下限制条件：
1.指定大小至多48KB
2.文件类型应用程序
3.勾选搜索隐藏的文件和文件夹

把搜索到的文件按照大小排列找到所有图标为文件夹的文件依次删除

最后注意删除各个分区下面的Dago文件夹和***** 用户名.exe（*****代表随机字符）

2.打开sreng
启动项目注册表删除如下项目（假设系统盘在C盘）
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
    <SQL><C:\WINDOWS\system\server.exe> []
    <User><C:\WINDOWS\User\.exe> []
    <Winlogon><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\WINLOGON.EXE> []
    <Services用户名><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\SERVICES.EXE> []
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
    <用户名 di Dago><C:\WINDOWS\Dago\Dago.exe> []
    <CueX44><C:\WINDOWS\Dago\Dago.exe> []
    <Csrss><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\CSRSS.EXE> []
    <Lsass><C:\Documents and Settings\用户名\Local Settings\Application Data\WINDOWS\LSASS.EXE> []
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon下的
shell值改为Explorer.exe
Userinit值改为C:\WINDOWS\system32\userinit.exe,

删除所有IFEO项目

系统修复－Windows Shell/IE 全选点击修复按钮