u盘自动启动杀毒-(u盘自动启动杀毒功能)

常见问题 次浏览手机阅读
(u盘自动启动杀毒功能)

今天来说一说怎么中Photo.scr病毒的,这个病毒文件,是我在开启路由器端口映射,然后共享文件到公网中(其实就是开启FTP服务端口映射),共享的文件夹目录中莫名其妙的多了一个文件:Photo.scr。

直觉告诉我,这不是一个简单的文件,应该就是被放入的病毒。然后我把这个Photo.scr放入虚拟机环境中,点击的时候会提示:Sorry,this application cannot run under a Virtual Machine,意思是:对不起,这个应用程序无法运行在一个虚拟机。

一般情况下,虚拟机的环境跟主机差不多,运行软电脑件不会有区别,所以放到虚拟机不仅能够隔绝病毒还可以测试下。

在虚拟机中点击photo.scr,看上去没有运行,其实通过任务管理器看它早在运行了,就是NsCpuCNMiner32.exe

看样子运行占用的cpu很高

再看CPU的使用情况,这是一个很有规律的运行。即使你在任务管理器这里结束进程了,它还是在悄悄的运行,而且CUP满负荷工作。其实它还具备传播性,看下图。

这个U盘放在没有病毒的win10主机中,只有一个文件夹。接下来把U盘连接入有病毒的xp虚拟机系统中。

接下看,打开U盘看

直接多出了屏幕保护程序Photo文件(Photo.scr),U盘退出虚拟机后,回到win10主机中,由于win10中装有360,直接报出是木马,良心啊,360能够很快的报出来,并且直接清除。

电脑

其实这个是一个挖矿木马,看网上很多人都中了Photo.scr病毒,而且它的文件种类也很多,包括images.scr、NsCpuCNMiner32.exe、NsCpuCNMiner64.exe、Information.vbe、IMG001.scr等。

它具有独特的感染机制,通过感染安全性不高的FTP服务器,包括服务器上的网站,然后通过挖Monero(门罗币)赚钱来达到目的。

病毒变体已经有多个版本,感染全球各地的服务器和个人电脑。

通常情况下,文件上传到安全性不高的FTP服务器中,然后,与FTP服务器一起的网站也被这种恶意软件感染,通过修改网站源代码,最后传播到访问到FTP文件和网站的用户。如下图是被感染的网站,通过HTML或者PHP、aspx嵌入网页中

致命的是它还可以感染本地网络中的其他FTP服务器和系统,攻击局域网中可访问的个人电脑和服务器等设备,比上面所说的U盘。查了下国外的一些文章,这些病毒的MD5和哈希值如下

电脑

而通过MD5文件校验U盘所中的正是图中所圈的

目前各类杀毒软件已经可以对此病毒进行查杀了,这次也是无意间发现这种病毒的,所以,大家在使用的电脑装上杀毒软件还是很有必要的!


喜欢 ()