病毒简介

病毒描述

行为分析

清除方案

病毒简介

病毒名称：Trojan-Downloader.Win32.Delf.aok 文件长度：12,383 字节病毒类型：木马感染系统：Windows98以上版本MD5 ：7d81bc7a4cc39145a7d05b31f4474207 开发工具：Borland Delphi 6.0 - 7.0 公开范围：完全公开加壳类型：未知壳危害等级：中命名对照：Symentec[Downloader] Mcafe[无]

病毒描述

该病毒属木马类，病毒运行后，释放病毒文件%system32%\\ ntdhcp.exe用来记录键盘，并在释放指向MS-DOS程序的快捷方式%Program Files%\\Common Files \\INTEXPLOREt，在%Program Files%\\Common Files下创建文件夹updata，该病毒运行后连接网络，开启本地端口，下载病毒文件并存放在文件夹%Program Files%\\Common Files\\updata中，该病毒运行后，所下载的病毒文件自动运行，会在用户机器上开启后门，盗取QQ、魔兽等游戏的账号和密码。该病毒对用户有一定危害。

行为分析

1、该病毒运行后，释放病毒文件：

病毒路径及病毒名 病毒功能

%system32%\tdhcp.exe

%Program Files%\\Common Files\\INTEXPLOREt

(键盘记录)

(指向MS-DOS程序的快捷方式)

2、创建文件夹%Program Files%\\INTEXPLORE用来保存该病毒连接网络时下载的病毒文件。

3、该病毒运行后，连接网络，开启端口，并下载病毒文件，并运行：

协议：TCP

IP：218.16.117.82 （广东省东莞市）

随机开启1024以上端口，如：1088、1091

下载病毒文件到%Program Files%\\Common Files\\updata：

病毒路径及原病毒名 病毒名

%Program Files%\\Common Files\\updata\\pp2.exe

%Program Files%\\Common Files\\updata\\pp3.exe

%Program Files%\\Common Files\\updata\\pp4.exe

%Program Files%\\Common Files\\updata\\pp5.exe

(Trojan-PSW.Win32.QQRob.fb)

(Backdoor.Win32.Hupigon.azq)

(Trojan-Clicker.Win32.Delf.bt)

(Trojan-PSW.Win32.WOW.bt) ]

用为点主动防御软件或超级巡警可以杀毒。建议在安全模式下进行，因为此病毒会衍生。

病毒文件被下载后，自动运行，在用户机器上开启后门，盗取QQ、魔兽等游戏的账号和密码。

注：%Program Files%是一个可变路径。病毒通过查询操作系统来决定当前program Files文件夹的位置。Windows操作系统中默认的安装路径是C:\\Progame Files 。

% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%system32%\tdhcp.exe

%Program Files%\\Common Files\\INTEXPLOREt

%Program Files%\\Common Files\\updata\\pp2.exe

%Program Files%\\Common Files\\updata\\pp3.exe

%Program Files%\\Common Files\\updata\\pp4.exe

%Program Files%\\Common Files\\updata\\pp5.exe