第一部分:病毒作恶行径
寒冰通过ssm监控,总算看清楚了病毒发作的作恶途径与行为,虽然可能由于病毒版本不同而有所差别,但是下面这些截图基本是该病毒的通用行为:
病毒启动前先检查进程中的常用防毒软件程序,寒冰的天网被病毒终结了
病毒启动另一程序dappvk.exe
生成病毒同名dll文件:dappck.all
病毒dappvk.exe修改注册表启动项,实现开机自启动
病毒dappvk.exe运行C:\WINDOWS\system32下的noruns.reg,内容如下:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:bd
意思是实现硬盘的自动播放功能,此时如果先禁用硬盘的自动播放功能,除了应用寒冰
……