sxs.exe

更新时间：2023-07-21 08:38

sxs.exe是一个盗取QQ账号密码的木马病毒，特点是可以通过可移动磁盘即网络传播。

病毒介绍

该病毒的主要危害是盗取QQ账户和密码；该病毒还会结束大量反病毒软件，降低系统的安全等级。

表现

1，生成文件

2，添加启动项

3，盗取方式

键盘记录，包括软键盘；将盗取的号码和密码通过邮件发送到指定邮箱。

4，传播方式

检测系统是否有可移动磁盘，是则拷贝病毒到可移动磁盘根目录。

sxs.exe

autorun.inf

5，添加内容

autorun.inf添加下列内容，达到自运行的目的。

[AutoRun]

open=sxs.exe

shellexecute=sxs.exe

6，关闭窗口名为下列的应用程序

QQKav

雅虎助手

防火墙

网镖

杀毒

病毒

木马

恶意

QQAV

噬菌体

7，结束下列进程

sc.exe

net.exe

sc1.exe

net1.exe

PFW.exe

Kav.exe

KVOL.exe

KVFW.exe

TBMon.exe

kav32.exe

kvwsc.exe

CCAPP.exe

EGHOST.exe

KRegEx.exe

kavsvc.exe

VPTray.exe

RAVMON.exe

KavPFW.exe

SHSTAT.exe

RavTask.exe

TrojDie.kxp

Iparmor.exe

MAILMON.exe

MCAGENT.exe

KAVPLUS.exe

RavMonD.exe

Rtvscan.exe

Nvsvc32.exe

KVMonXP.exe

Kvsrvxp.exe

CCenter.exe

KpopMon.exe

RfwMain.exe

KWATCHUI.exe

MCVSESCN.exe

MSKAGENT.exe

kvolself.exe

KVCenter.kxp

kavstart.exe

RAVTIMER.exe

RRfwMain.exe

FireTray.exe

UpdaterUI.exe

KVSrvXp_1.exe

RavService.exe

8，删启动项

RavTask

KvMonXP

YLive.exe

yassistse

KAVPersonal50

NTdhcp

WinHoxt

传播

sxs.exe病毒一般是通过U盘、移动硬盘及储存工具进行传播的。当U盘被插入被病毒感染的电脑后，病毒会首先查找U盘的根目录里有没有sxs.exe和autorun.inf这两个文件，如果没有，病毒会自动把sxs.exe和autorun.inf复制到U盘的根目录下；如果有，病毒会设置sxs.exe的属性为只读且为系统文件，以达到隐藏自身的目的，并把原有的autorun.inf删除，重新创建一个autorun.inf文件，并写入数据。

查杀

手动删除“sxs.exe病毒”方法：

在以下整个过程中不得双击分区盘，需要打开时用鼠标右键——打开

方法一

1、 了解了病毒的传播方式，我们发现，可以通过在每一个盘符下放一个空白的sxs.exe文件，这样，病毒就不会复制一个真正的sxs.exe病毒到硬盘上了。

2、免疫的方法：

新建一个文本文档，不用写入任何数据，重名为：sxs.exe。把这个假的sxs.exe复制到U盘的根目录下去就可以了。这样，就不会中真的sxs.exe了。

3、免疫有效期：

目前为止，还没有发现有新的变种可以躲过此种免疫方案。

方法二

1、关闭病毒进程

Ctrl + Alt + Del 任务管理器，在进程中查找 sxs 或 SVOHOST（不是SVCHOST，相差一个字母），有的话就将它结束掉

2、显示出被隐藏的系统文件

运行——regedit

这里要注意，病毒会把本来有效的DWORD值CheckedValue删除掉，新建了一个无效的字符串值CheckedValue，并且把键值改为0！我们将这个改为1是毫无作用的。（有部分病毒变种会直接把这个CheckedValue给删掉，只需和下面一样，自己再重新建一个就可以了）

方法：删除此CheckedValue键值，单击右键 新建——Dword值——命名为CheckedValue，然后修改它的键值为1，这样就可以选择“显示所有隐藏文件”和“显示系统文件”。

在文件夹——工具——文件夹选项中将系统文件和隐藏文件设置为显示

3、删除病毒

在分区盘上单击鼠标右键——打开，看到每个盘跟目录下有 autorun.inf 和 sxs.exe 两个文件，将其删除。

4、删除病毒的自动运行项

打开注册表 运行——regedit

HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Run

重启电脑后，发现杀毒软件可以打开，分区盘双击可以打开了。

前言：看到一个毒，动作非常简单，但有一点却算是有点创新精神的 字串7

=================================================================

字串5

sxs.exe样本信息： 字串7

反病毒引擎 版本 最后更新 扫描结果

AhnLab-V3 2007.9.14.0 2007.09.14 -

AntiVir 7.6.0.10 2007.09.14 BDS/Graybird. GN.462336

Authentium 4.93.8 2007.09.15 -

Avast 4.7.1043.0 2007.09.14 Win32:Hupigon-BQO

AVG 7.5.0.485 2007.09.14 -

BitDefender 7.2 2007.09.15 -

CAT-QuickHeal 9.00 2007.09.14 -

ClamAV 0.91.2 2007.09.15 Trojan.Downloader.Adload-130

DrWeb 4.33 2007.09.14 -

eSafe 7.0.15.0 2007.09.13 -

eTrust-Vet 31.1.5136 2007.09.14 -

Ewido 4.0 2007.09.15 Backdoor.BlackHole.j

FileAdvisor 1 2007.09.15 -

Fortinet 3.11.0.0 2007.09.15 Generic.A!tr.bdr

F-Prot 4.3.2.48 2007.09.15 -

F-Secure 6.70.13030.0 2007.09.15 Trojan-Dropper.Win32.Agent.bvs

Ikarus T3.1.1.12 2007.09.15 Trojan-PWS.Win32.Lmir

Kaspersky 4.0.2.24 2007.09.15 Trojan-Dropper.Win32.Agent.bvs

McAfee 5120 2007.09.14 BackDoor-CGX

Microsoft 1.2803 2007.09.15 Backdoor:Win32/Blackhole.T

NOD32v2 2531 2007.09.15 -

Norman 5.80.02 2007.09.14 W32/Malware.APNA

Panda 9.0.0.4 2007.09.14 Suspicious file

Prevx1 V2 2007.09.15 Heuristic: Suspicious File Which Interferes With Vulnerable Files Like The HostsFile

Rising 19.40.51.00 2007.09.15 -

Sophos 4.21.0 2007.09.15 Mal/Generic-A

Sunbelt 2.2.907.0 2007.09.15 Backdoor.Win32.Blackhole.T

Symantec 10 2007.09.15 W32.SillyFDC

TheHacker 6.2.5.060 2007.09.14 -

VBA32 3.12.2.4 2007.09.15 suspected of Embedded.Backdoor.Win32.BlackHole.j

VirusBuster 4.3.26:9 2007.09.14 -

Webwasher-Gateway 6.0.1 2007.09.14 Trojan.Graybird. G N.462336

附加信息

File size: 505733 bytes

MD5: b3bc73a0649c097457099d1d8363213d

SHA1: 2d1f758d85321b8396212edd7942048fd1f03c2e

packers: BINARYRES

Prevx info: http://fileinfo.prevx.c om/fileinfo.asp?PX5=798BC273002A9C2C8493080EEBA3E6003F867310

字串9

字串6

=================================================================

字串5

文件改动： 字串4

创建： 字串4

字串9

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

字串5

注册表改动：

字串7

添加：

字串2

字串8

================================================================= 字串9

字串7

且不论这种加载方式是否高明，这个病毒是否厉害，相比于现在许许多多的使用生成器弄出来的“标准”病毒和一些用烂了的手法来说，这个东西算是有创新精神了；

字串2

当然，制作病毒始终是犯法的，取其创新精华吧。 字串7

P.S.很久没有上传样本到VT检测，今天居然发现它有中文版了，呵呵！

字串4

================================================================= 字串3

原创文件文章，作者dikex（六翼刺猬），转载请注明出处；

文章地址：http://hi.baidu.c om/dikex/blog/item/102881097eddec276b60fb9d.html

免责声明
隐私政策
用户协议
目录 22
0{{catalogNumber[index]}}. {{item.title}}
{{item.title}}