樣本分析－kavo新變種

這是一個流行已久的隨身碟病毒樣本，也就是俗稱的kavo
單從手法上來看，行為上其實沒什麼特殊，就只是一直變種躲緝毒引擎
這類隨身碟病毒多到數不清，自己的隨身碟如果沒有防寫保護
很容易就會被感染！對付這種改變自身的病毒其實不難，行為幾乎大同小異
下面我使用KIS 2009，並使用去年11月27號的特徵碼直接執行
來看看HIPS動態防禦的結果！



首先從結果來看，在system32下有不少衍生物
其中應該是先衍生出mkfght0.dll，如果有用一些免疫鎖之類的
擋住了mkfght0.dll後會繼續衍生出mkfght1.dll～mkfght9.dll
這個部分我沒有重測，但這種方法可以避過一些彷間投機取巧式的"免疫軟體"

il0byu3h.com (events: 19)
2009/1/20 下午 06:39:24 Placed in group High Restricted
2009/1/20 下午 06:39:24 Setting debug privileges Denied: KLPrivileges/KLPermissionSystem/KLPermissionPrivileges/KLSetDbgPrivilege
2009/1/20 下午 06:39:24 Modification C:\WINDOWS\system32\drivers\cdaudio.sys Denied: KLSystemData/KLSystemFiles/Drivers
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\rttrwq.exe Denied: KLSystemData/KLSystemFiles/SystemExe
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\rttrwq.exe Denied: KLSystemData/KLSystemFiles/SystemExe
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\rttrwq.exe Denied: KLSystemData/KLSystemFiles/SystemExe
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght0.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght1.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght2.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght3.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght4.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght5.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght6.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght7.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght8.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:24 Create C:\WINDOWS\system32\mkfght9.dll Denied: KLSystemData/KLSystemFiles/SystemDll
2009/1/20 下午 06:39:25 Modification hkey_users\S-1-5-21-796845957-1390067357-839522115-500\Software\Microsoft\Windows\CurrentVersion\Run Denied: KLSystemData/KLStartupRegKeys/Main_Run
2009/1/20 下午 06:39:43 Access to another process memory c:\windows\explorer.exe Denied: KLPrivileges/KLPermissionAppAccess/KLPermissionProcEmbed/KLReadProcMem
2009/1/20 下午 06:39:53 Process start c:\windows\system32\dwwin.exe Denied: KLPrivileges/KLPermissionAppAccess/KLPermissionProcManage/KLStartProc

提示該com執行檔可能是個危險程式，且不具有任何數位簽章



提示該com執行檔歸類為高危群組，並試圖讀取其它process的記憶體內容



試圖啟動錯誤回報員



總結來說，只要用中等程度的HIPS就可以完全防禦這種隨身碟病毒了
大部分人嚐試的A+B+C或B+D+E還不如Single AV+Single HIPS
或者是像KIS這種AV+HIPS的，例如Panda、F-secure等這些
裝太多AV，所產生的效果不見得可以得到累加的防護效果
選擇好一個好的安全軟體才是最重要的事情！