「艾妮」感染型病毒下載器行為分析

這個艾妮病毒下載器和去年流行的艾妮（ANI）蠕蟲有很大不同，這裡的艾妮是一個木馬下載器。 QTu資料救援-RCS資料救援

病毒特點： QTu資料救援-RCS資料救援

1.更強的感染能力 QTu資料救援-RCS資料救援

該病毒會感染所有體積從40k；到4M；之間的exe；文件，針對這些體積小的文件進行感染有一個好處，就是能盡可能的捕獲那些小巧的綠色型應用程序，利用這些小程序受人們喜歡、經常得到傳播的有點，病毒可以實現更快的擴散。 QTu資料救援-RCS資料救援

2.在各硬碟分區生成自動運行的病毒文件 QTu資料救援-RCS資料救援

“艾妮”會在各硬碟分區的根目錄下生成AUTO病毒文件ntldr.exe；和對應的autorun.inf，只要用戶在中毒電腦上使用USB隨身碟等移動儲存設備，“艾妮”就可以傳染到這些設備上。 QTu資料救援-RCS資料救援

注意：將病毒生成的NTLDR.EXE是Windows引導文件NTLDR區分開，後者沒有擴展名，只存在於C盤根目錄，是windows啟動時的引導文件，NTLDR丟失，將會造成系統不可啟動。 QTu資料救援-RCS資料救援

3.劫持安全軟體，同時黑吃黑劫持其它病毒 QTu資料救援-RCS資料救援

使用映像劫持對抗安全軟體的病毒很多，這個艾妮除劫持主流安全軟體之外，還會把很多病毒的程序也劫持掉，達到獨佔系統資源的目的。 QTu資料救援-RCS資料救援

詳細分析作案流程： QTu資料救援-RCS資料救援

1.複製自身到%windir%/fonts/system/ati2evx

[1] [2] [3] [4] [5]