病毒 xviewer.exe 简析
source link: https://blog.lilydjwg.me/2012/3/30/simple-analysis-of-virus-xviewer-exe.32676.html
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
病毒 xviewer.exe 简析
本文来自依云's Blog，转载请注明。
搞到了个病毒，想看看它想干什么，扔虚拟机里跑了几次。PS: 这个病毒真大，9M 多了。
第一次，观察到其进程结构为一个 winloads.exe 进程下生成三个 xviewer.exe 工作进程。winloads.exe 无法被 Process Explorer 杀死，而 xviewer.exe 可以。工作进程总保持为三个。病毒运行过程中，耳机不时传来 Windows 页面刷新的声音，猜测这家伙在用浏览器。第二次使用 Process Monitor 观察的结果证实了这个猜测，xviewer.exe 在大量访问C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat文件。不过，Process Monitor 可能还是太弱了，不能看到事件的详细信息，也没看到网络访问。
第三次测试，将 vbox 的 NAT 网卡关掉，只留下一块 host only 的。然后本机开启 NAT 转发：
sudo sh -c "echo 1 > /proc/sys/net/ipv4/ip_forward"sudo iptables -t nat -A POSTROUTING -s 192.168.56.0/24 -j MASQUERADE
使用 Wireshark 在 vboxnet0 接口上监听。虚拟机上手动设置网关为192.168.56.1，DNS 服务器为我本机上的 dnsmasq，也就是相同的地址。
设定好后，再次运行病毒，可以看到其
- 首先访问 www.wandianji.com 上的列表文件（http://www.wandianji.com/xsoft/update/update_plug_v2.txt）来更新；
- 再使用 POST 请求访问，获取一格式不明的链接列表；
- 接着开始访问百度，搜索关键词，访问网页。
原来是刷搜索排名的。难怪百度的搜索结果那么差，国内这些东西估计有不小的贡献吧？
PS: 我是用 XueTr 来结束病毒的进程们的，这个软件不支持进程树显示，但是可以多选来同时杀掉多个进程。
病毒样本及抓包结果下载链接在此。
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK