“空格幽灵”木马病毒造成的空格键失灵究竟是做了什么手脚？如何手动修复？还有限制关机的问题
样本信息及其dump内存文件
2.1 母体信息
文件名：YqbYbx.exe
类 型：EXE程序
大 小：52,224 字节
文件名：YqbYbx.jpg
类 型：jpg空白图片
大 小：396,445 字节
2.2 释放文件信息
文件名：twain32.dll
类 型：DLL文件
大 小：393,382 字节
路 径: %SystemRoot%\ twain32.dll
文件名：.lnk
类 型：快捷方式
大 小：424 字节
路 径：%开始菜单目录%\ .lnk 和 %我的文档目录%\ .lnk
文件名: .vbs
类 型: vbs脚本文件
大 小：139 字节
路 径：%我的文档目录%\ .lnk
2.3 内存dump文件信息
文件名：Region00E40000-00E91000.dmp
类 型：PE内存dump文件
大 小：331,776 字节
母体行为分析
3.1 母体行为概述
该母体并没有太大的危险性行为，其作用更贴切来说是作为一个Loder，作为病毒程序运行的垫脚石和对迷惑用户感官判断进行迷惑。
3.2 母体YqbYbx.exe行为分析
3.2.1 解密释放出病毒DLL文件：twain32.dll
a) 打开同文件夹下YqbYbx.jpg文件。
b) 定位到文件头偏移 0xBF7 位置处，读取 0x600A6 字节，通过简单的异解密出一个PE文件数据。
c) 将这段数据保存成一个DLL文件，路径在C:\WINDOWS\twain32.dll。
d) 利用rundll32.exe带参数 fuck007启动twain32.dll
启动格式：rundll32.exe "C:\WINDOWS\twain32.dll" fuck007
3.2.2 打开图片YqbYbx.jpg迷惑用户
a) 打开图片YqbYbx.jpg（此图片的文件已经损坏，打开是一个空白的图片）
释放文件行为分析
4.1 释放文件行为概述
释放文件有4个，一个DLL，两个个快捷方式和一个vbs程序。Vbs程序为病毒的再次启动提供多一个路径：通过快捷键启动。DLL文件就是在内存中生成病毒代码，连接远程控制服务器端，和远程控制服务器端交流信息。
4.2 twain32.dll行为分析
4.2.1 再内存进行病毒代码构造
运行的过程中，在内存分配了一个长度为 331776 字节的空间，通过大量数据解密，在这个空间里构造了一个DLL文件结构，然后跳转到这个结构中的代码来运行（已经dump出来了在压缩包中），这个DLL文件是一个远控。并且，远控服务器端域名“weiqi27890.3322.org”作为参数传递进去。
（针对远控的功能在第五章：远控功能分析）
4.3 .vbs行为分析
4.3.1 vbs脚本内容及其解析
SET objShell=Wscript.CreateObject("Wscript.Shell")
On error resume Next
iReturnCode=objShell.Run("rundll32.exe twain32.dll Run",0,TRUE)
此脚本就是利用rundll32.exe 来启动twain32.dll，其执行的时机在下面.lnk文件的分析里
4.4 .lnk行为分析
如下图，是.lnk文件的属性，可以看出，这个快捷方式可以随着空格“space”启动
远控功能分析
5.1 远控功能概述
这是一个功能比较完善的远程控制客户端，可以为服务器端提供查看本机信息，查看本机注册表，查看本地硬盘，上传、下载文件，运行程序，结束程序，及其3389远程桌面多用户登陆，记录键盘等一系列远程功能。
5.2与服务器端建立连接
(1) 查询域名“weiqi27890.3322.org”的IP地址xxx
(2) 建立TCP连接到xxx地址的1234端口
(3) 建立连接后发送本机系统消息进行上线确认
(关于获取本机系统详细信息在5.3)
5.3获取本机系统详细信息
(1) 通过HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\~MHz
获得CPU的主频
(2) 通过HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0\ProcessorNameString 获得CPU的型号
(3) 通过 API函数 GetSystemInfo 获得系统版本信息
(4) GetDriveTypeA 检测从A盘到Z盘是否为可用盘，若果是可用盘，
(5) GeDiskFreeSpaceExA 获得每个盘的大小和可用空间
(6) 打包成一段数据包，发送给服务器端，作为上线信号
5.4记录键盘消息
(1) 接收到服务端的键盘消息指令
(2) 通过自己建立一个键盘表(全部键盘信息)
(3) 不断循环使用API函数GetKeyState测试每个键盘是否按下
(4) 将键盘信息保存到 “病毒路径\keylog.dat” 文件中
(5) 调用文件上传功能把keylog.dat上传
(6) 删除keylog.dat
5.5远程命令行功能
(1) 接收到服务端的远程命令行指令
(2) 后台运行cmd.exe
(3) 新建一个匿名管道，绑定到cmd.exe的输入输出
(4) 通过Tcp连接发送和接收cmd命令，让控制端自由操作
5.6查看进程列表功能，结束进程功能
(1) 接收到服务端的查看进程列表的功能
(2) 利用进程系统快照遍历系统进程
(3) 发送系统快照到服务器
(4) 如果服务器要求结束某进程，先使用（SeDebugPrivilege、LookupPrivilegeValueA、AdjustTokenPrivileges获得系统的权限）再用API函数TerminateProcess结束进程，如果无法结束，则调用调用系统的taskkill.exe /f /pid %d来结束进程。
5.7 DOS攻击功能
(1) 接收到服务端的DDOS攻击指令
(2) 接收到要攻击的IP地址或网站
(3) 创建一个线程，死循环的访问对应的网站或死循环的对IP地址发出连接邀请
(4) 直到收到了结束攻击的指令，才结束刚才创建的攻击进程。
5.8使电脑无法正常关机的功能
(1) 接收到服务端的使电脑无法正常关机的指令
(2) 使用API函数PrivilegeOpera设置SeShutdownPrivilege的属性使得电脑无法正常关机。
(3) 直到收到解除指令才还原设置
5.9设置系统成为可以多用户使用的3389端口远程桌面
(1) 接收到服务器端的设置远程桌面的消息
(2) 对如下注册表进行操作
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon中
KeepRASConnections设置为REG_SZ值为1
HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server中
fDenyTSConnections设置为REG_DWORD值为0
HKLM\SYSTEM\CurrentControlSet\control\terminal server\Licensing中
EnableConcurrentSessions设置为REG_DWORD值为1
HKLM\SYSTEM\CurrentControlSet\Services\TermService\Parameters中
serviceDll设置为REG_EXPAND_SZ值为%SystemRoot%\system32\termsrvhack.dll
(3) 用文件接收功能，接收termsrvhack.dll到文件到C盘根目录下
(termsrvhack.dll这是网上广为流传的用户多用户3389的DLL文件)
(3) 复制c:\termsrvhack.dll到c:\windows\system32\dllcache\termsrvhack.dll
(4) 复制c:\termsrvhack.dll到c:\windows\system32\termsrvhack.dll
5.12 其他功能
其他远控常见功能，如上传下载文件，远程运行文件，删除文件，清除系统记录，查看系统服务，修改IE主页等功能，不做说明。
木马,病毒
木马就是个远程控制程序，单纯的木马是没有危害的，但是控制者可以获取和你一样对电脑的控制权限，并且是隐蔽的。也就是说木马必须得有人操作才能危害到电脑。而病毒是制作病毒者将程序编写好不需要控制远程电脑了就能对电脑破坏，病毒可自我复制的并传播的，而单纯木马是不具备自我复制传播的。现在的木马使用了病毒技术把木马和病毒联合到一起，现在的统成为“木马病毒”它的破坏更厉害，有时对硬件造成破坏，如鬼影病毒MBR分区表才能彻底删除。
类型简介
“蠕虫”型病毒，通过计算机网络传播，不改变文件和资料信息，利用网络从一台机器的内存传播到其它机器的内存，计算网络地址，将自身的病毒通过网络发送。有时它们在系统存在，一般除了内存不占用其它资源。
寄生型病毒除了伴随和“蠕虫”型，其它病毒均可称为寄生型病毒，它们依附在系统的引导扇区或文件中，通过系统的功能进行传播，按其算法不同可分为：练习型病毒，病毒自身包含错误，不能进行很好的传播，例如一些病毒在调试阶段。
诡秘型病毒它们一般不直接修改DOS中断和扇区数据，而是通过设备技术和文件缓冲区等DOS内部修改，不易看到资源，使用比较高级的技术。利用DOS空闲的数据区进行工作。
变型病毒（又称幽灵病毒）这一类病毒使用一个复杂的算法，使自己每传播一份都具有不同的内容和长度。它们一般的作法是一段混有无关指令的解码算法和被变化过的病毒体组成
根据病毒存在的媒体，病毒还可以划分为网络病毒，文件病毒 引导型病毒。
危害：损坏硬件，文件丢失，破坏操作系统，密码丢失，数据库文件窃取，商业上严重的可以导致企业破产。
电脑的系统幽灵病毒是怎么回事啊
系统幽灵”变种G(PCGhost.g)威胁级别：
病毒特征：该恶意软件会采用RootKit技术来隐藏特定的文件和进程,锁定用户电脑的IE主页,同时劫持浏览器。不但严重影响用户对电脑的正常操作,而且占用系统资源,造成电脑运行速度减慢。此外,它还会躲避某些杀毒软件的监控窗口,使电脑的安全性能降低,建议使用金山反间谍或金山毒霸系统清理专家清除该恶意软件后，再使用金山毒霸2007进行杀毒。
发作症状：该病毒运行后，搜寻并注入tw2.exe，sro_client.exe和BO.exe等多个网络游戏进程，同时创建消息钩子，记录用户信息，达到盗号的目的。
中了《幽灵（I-Worm.Ghost）》病毒怎么处理？
用文件粉碎机粉碎
C盘根目录下，文件名为“Windows.exe”和“Ghost.bat”。
关闭系统还原，方法是“右击我的电脑——属性——系统还原——在所有驱动器上关闭系统还原”
拔掉网线..进入安全模式全盘查杀..用360顽固杀木马...我一般是这样的..
如何评价黑暗幽灵木马
这个木马简直是...
屌炸天啊！
首先说传播方式，
劫持更新包，和伪基站钓鱼有异曲同工之妙，
想法超前，效果想必也是极佳，
杀人于无形，防不胜防呐（范老师语气
难点在于，如何让人处于“不安全的网络”之中。
木马本身，
自提权，win系统几乎版本通杀，先进的免杀方式，完善的信息收集，
单说这些方面，几乎就是黑客梦寐以求的神器了。
一个版本通杀、杀软通杀、还具备一切远控功能的木马（的源码），
黑客们这是要跪舔求马的节奏...
