概述

操作

相近的病毒

概述

TrojanClicker.Clickaire.c

病毒长度：不定

病毒类型：木马影响系统：Win9X/2000/XP/NT/Me

TrojanClicker.Clickaire.c更改IE默认页、搜索页使其连接到一些色情网站。

操作

此病毒一旦运行，有如下操作：

1.生成文件Excel10.dll，系统不同，路径不同：

Windows 95/98/Me：

C:\\Windows\\Application Data\\Microsoft\\Office\\Excel10.dll

Windows NT/2000/XP：

C:\\Documents and Settings\\<user name>\\Application Data\\Microsoft\\Office\\Excel10.dll

并注册为浏览器的帮助对象，且IE需要4.0以上的版本。

2.修改主机文件使其指向特定的网站。

3.在注册表HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Internet Explorer\\Main下添加Local Page="http:/ /www点idgsearch点com/"

Search Page="http:/ /www点idgsearch点com/"

Search Page_bak="http:/ /www点idgsearch点com/"

SearchURL="http:/ /www点idgsearch点com/"

Start Page="http:/ /www点idgsearch点com/"

Start Page_bak="http:/ /www点idgsearch点com/"

Search Bar="http:/ /www点2020search点com/search/9884/search点html"键值。

HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Search

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Internet Explorer\\Search下添加CustomizeSearch="http:/ /www点idgsearch点com/"

SearchAssistant="http:/ /www点2020search点com/search/9884/search点html"键值。

4.在注册表下创建如下键：

HKEY_CLASSES_ROOT\\CLSID\\

HKEY_CLASSES_ROOT\\Interface\\

HKEY_CLASSES_ROOT\\SearchWord.ExcelExport

HKEY_CLASSES_ROOT\\SearchWord.ExcelExport.1

HKEY_CLASSES_ROOT\\TypeLib\\

HKEY_LOCAL_MACHINE\\Software\\CLASSES\\CLSID\\{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972

HKEY_LOCAL_MACHINE\\Software\\CLASSES\\Interface\\

HKEY_LOCAL_MACHINE\\Software\\CLASSES\\SearchWord.ExcelExport

HKEY_LOCAL_MACHINE\\Software\\CLASSES\\SearchWord.ExcelExport.1

HKEY_LOCAL_MACHINE\\Software\\CLASSES\\TypeLib\\

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\explorer\\

Browser Helper Ojects\\

5.搜索下列文件，一旦发现立即删除：

Bootconf.exe Browserhelper点dll Ctfmon32.exe Default.css

Dnse.dll Dnserr点dll Dnsrelay点dll Dreplace.dll

Iedll.exe Ld.exe Loader.exe Msspi点dll Mssys.exe

My.css Svc点exe Svchost32点exe Svcinit点exe

Svcpack点exe Sys点reg Winlink点dll

Winshow.dll Xplugin点dll\\Fonts\\Msoffice点hta \\Temp\\Addclass点exe

\\Web\\oslogo.bmp \\Web\\win.def \\Winshow\\Winshow点dll

6.删除注册表HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce下的nvstart

7.删除注册表HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run下的AddClass CTFMON32.EXE iedll Internat Conf loader

Msoffice mssys nvstart svc svchost.exe sys

sysPnP Tapicfg.exe等。

相近的病毒

Trojan/QQMsg.QQTail.b

病毒长度：不定

病毒类型：木马

影响系统：Win9X/NT/2000/XPMe

Trojan/QQMsg.QQTail.b记录用户敲击键盘信息并进行加密，首先将其保存在文件中，然后自动把该加密文件及被感染计算机的IP地址发送到由黑客指定的邮件地址。

木马一旦在系统中运行，便有如下操作：

1.拷贝自身到系统目录下，文件名为Kern32.exe。

2.在系统目录下置入Hksdll.dll文件。

3.在注册表HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce下添加"kernel32"="C:\\%System%\\kern32.exe"键值，以便使木马在每次系统启动后自动运行。