随机7位/8位字母组合成的恶意U盘BingDu的分析与查杀

http://hi.baidu.com/newcenturysun/blog/item/3f7b424e42983908b3de0596.htmlpcMing工作室u&Ii;T,[.^

.T,C}&WO[)o+o0一、最新变种 7随机字符组合pcMing工作室g+I8NX9l
原帖http://hi.baidu.com/newcenturysun/blog/item/db3da71be85d3e188618bf5a.html
,Oemq8gs7Ug&E0作者 清新阳光 newcenturypcMing工作室!TF4~ J3N!\;M
pcMing工作室,{;Ki+rS0P
File: ouvjwsc.exe
/B;Z/mDWL0Size: 37756 bytes
Re*I5b7rb r ];?!j0MD5: 36AAC6211A71F9FA5875D55E573B3B87pcMing工作室v4m"J6t;E3Ov!l%J
SHA1: 9FDCFEB87F652946C61726544063CEC06C393B2EpcMing工作室4r4FJ(d
b~O2`
CRC32: A733E8C7

m{p0o8T7y8b-F0

运行后在系统文件夹下生成pcMing工作室 yn|4yh
C:\WINDOWS\system32\随机7位字母组合.exepcMing工作室E5o?Z9ja.@,K
C:\WINDOWS\system32\随机7位字母组合.exe(两个文件名不同）
rlp4J3|0C:\WINDOWS\system32\meex.compcMing工作室4v2qEK4DA)F

AKc#O Bhb0尝试关闭如下进程：
ch9o7lJ-s;p6E0pcMing工作室7v1f3Rtd^ {7k0Z
Ras.exe
~'g[,L?@#m0avp.com
#p-L%Ru&Z+JSnO0avp.exepcMing工作室8AH"O.gR0ztlYa
runiep.exe
2kP,D4lB @@{0PFW.exe
7`3E+xR%H0FYFireWall.exepcMing工作室X5^R`-Fs
rfwmain.exepcMing工作室0d1yy3OS HN;N/jj(`
rfwsrv.exe
:u?A^@ a0KAVPF.exepcMing工作室7p ^#Mx-B u [?/?*J
KPFW32.exe
vYG:GR"]?*h0nod32kui.exepcMing工作室,Kk/VK%SW+P g~
nod32.exe
D6y7W
g.Qc{rl0Navapsvc.exepcMing工作室/dq1A5Fc2Dt
Navapw32.exe
s0v:pmA5N0avconsol.exepcMing工作室'^i.Deq^'}8`
webscanx.exe
T)A*vGD[x G0NPFMntor.exe
q[Q N#t3f0vsstat.exepcMing工作室 XT%cNe1y.~
KPfwSvc.exepcMing工作室c?+Wuvb!U"i!yJ*J6E
RavTask.exepcMing工作室f|u"tC#I:w2}3v'E
Rav.exepcMing工作室Op4U;xE eM6z7X
RavMon.exe
B
mj X,O}3_0mmsk.exepcMing工作室!dQ;mLOMD1[
WoptiClean.exepcMing工作室6hJ+@H}OI
QQKav.exe
vAw+c f1K0QQDoctor.exepcMing工作室,p4^T1my
EGHOST.exepcMing工作室`#E8o],v!~4^PD#G/|#@d
360Safe.exepcMing工作室v%oW?4}w@5kz3D
iparmo.exe
3~.qLu*o-}Q+_o0adam.exe
k7DfM"j0W0IceSword.exepcMing工作室HN!bAB4]waH
360rpt.exe
@'\;mp"]8?7w1r0360tray.exe
4L1W1i-V
w/rK7H7_Z0AgentSvr.exepcMing工作室e'Ju]0h
AppSvc32.exe
8v+Z rmcn@0autoruns.exe
\r&wJP#WAd5{0avgrssvc.exepcMing工作室}+U!E2z+L2}iXIE9I
AvMonitor.exepcMing工作室ji6T@?N9j!Rln
CCenter.exe
(o2\,jW6j p#w3~mC0ccSvcHst.exe
&|$e$]0`q0FileDsty.exe
o\V {s*]#_s0FTCleanerShell.exepcMing工作室u$dm7th+w l7Y
G#S
HijackThis.exe
y]!}G`4t`+d0Iparmor.exepcMing工作室0Kid|$rxY!{"Dn
isPwdSvc.exepcMing工作室:P$s9`7mxB:`
kabaload.exepcMing工作室,O!C5s,o%_ h
KaScrScn.SCRpcMing工作室r[+F BF@\5~qS
KASMain.exepcMing工作室 cm{c-z` b}g!A4|
KASTask.exepcMing工作室8eWx \-}v5~rAL
y
KAV32.exepcMing工作室)a~zHj0tB#pE~+F
KAVDX.exepcMing工作室
y3b-~__(Y&MW9y&i
KAVPFW.exe
;K,P~:mF;Y~ Lz0KAVSetup.exe
R~Ya D3C AB0KAVStart.exepcMing工作室9L0L xK K
KISLnchr.exe
\1S7Oc%k*Y j9Q0KMailMon.exe
eddv0mv9d0KMFilter.exe
+A|HKVL{8y0KPFW32.exe
.Z`$To1Q0KPFW32X.exepcMing工作室/M lX#a%egb
KPFWSvc.exe
0g]L QhGqjNfB0KRegEx.exe
0_h_9_](V+H{_&T\0KRepair.compcMing工作室}P!f0m0h6I,mr XY
KsLoader.exe
.E7n5?8J aS0KVCenter.kxp
-H u;H W#\~'O3E0KvDetect.exepcMing工作室I$[4E:}PrnQ0p}2\
KvfwMcl.exe
xJ,k%IP-Ue(@X2T;l0KVMonXP.kxp
7]u7z9_z0KVMonXP_1.kxp
0N8E(GX"Db P0kvol.exepcMing工作室)@joS`}
kvolself.exe
!Y ^?o2a0KvReport.kxp
A|.@7MM$K&d} DZ0KVScan.kxp
zf`]e9w
J(Q0KVSrvXP.exepcMing工作室;aq9TL5De0Hr
KVStub.kxppcMing工作室E2X0Q2k Aj
kvupload.exepcMing工作室6P qgt\{8@E
kvwsc.exepcMing工作室O,|%|3Vg|]+B%V^s
KvXP.kxppcMing工作室ple r3_iJf
KvXP_1.kxppcMing工作室4m#Q v:\ ?@3F
o/O
KWatch.exe
q;K!F [(NAa0KWatch9x.exepcMing工作室g0q b&w^#H
KWatchX.exe
8O1H0[ ~ S*Q i9bp4b0loaddll.exe
6aC!v1D2E\~0MagicSet.exe
$Zl3W2g7}.Z4g0mcconsol.exe
2j
L(^Pzn%l0mmqczj.exepcMing工作室9B:\7x zY;Z@e
nod32krn.exepcMing工作室T/?0M!s!TdI)z
PFWLiveUpdate.exe
Jp$a"m:K*~'^,`0QHSET.exe
#_mT!a!\ \ J[&c\l0RavMonD.exe
Ef+}1yaSJc3R0RavStub.exe
M]c~'H(y\0RegClean.exe
'al^
V2_?[0rfwcfg.exe
G v F*F sZ_ku6_j@0RfwMain.exepcMing工作室 g I3I*gU K B1q
rfwsrv.exe
8[b;] Lac6M`5r/]0RsAgent.exe
BRv&H#vu2D"G0Rsaupd.exe
EY"Ej7}(N(`0safelive.exepcMing工作室~p%yEr
scan32.exepcMing工作室:d4uF;TY `
shcfg32.exe
(d&d"x1W&}(CZ&@0SmartUp.exepcMing工作室} BlC+VJ
j
SREng.EXE
fD6J'SV@R L0symlcsvc.exepcMing工作室-OuPhOuJYW
SysSafe.exe

k(ilYym8sq0TrojanDetector.exepcMing工作室;?SR-g`x6W
XE
Trojanwall.exepcMing工作室u[#z!gWS.Ov|,A
K&b
TrojDie.kxppcMing工作室C fNI`#w3No
UIHost.exepcMing工作室 g.Z w6TQ,L
UmxAgent.exe
D_u7s6R9c0UmxAttachment.exe
2d+@&~i UWY.E0UmxCfg.exe
+U {1T#t9my&mZ$?7e$`0x0UmxFwHlp.exe
zF:q pn]F'X4g0UmxPol.exe
tD&^PhC0UpLive.exepcMing工作室&h0\.`}1W;pd5E Q
pcMing工作室:jG
`6pvt#h;G

:PGR"dDAH QO0删除键pcMing工作室FjrZ#__ M0XZ ad
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}pcMing工作室(L4["s!}5fH5h
HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}pcMing工作室1l;b(t?7n;C(@7?
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}pcMing工作室'gto-zWr
HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}pcMing工作室t _3XM'Q`2SB
破坏安全模式