词条 | Trojan-Downloader.Win32.Small.czo |
释义 | 该病毒属木马类。病毒运行后复制自身到 %system32% 下及其附属目录下;在所有盘幅根目录下创建病毒副本,文件名为 setup.exe ,并衍生病毒文件 autorun.inf ,达到随双击盘幅启动病毒的目的;修改注册表,添加两处启动项、创建服务,以达到随机启动的目的;锁定隐藏文件选项,使用户无法显示隐藏文件。访问网络,下载病毒文件。 病毒简介病毒名称: Trojan-Downloader.Win32.Small.czo 病毒类型: 木马 文件 MD5: 120521DB73BBF1D0A8BDFB90E2D758B 公开范围: 完全公开 危害等级: 3 文件长度: 14,689 字节 感染系统: windows 98以上版本 开发工具: Microsoft Visual C++ 6.0 加壳工具: FSG 2.0 -> bart/xt 行为分析1 、病毒运行后复制自身到 %system32% 及其附属目录下,并在所有盘根目录下创建病毒文件副本,并衍生病毒文件。 %system23%\\ internt.exe %system32%\\progmon.exe %system32%\\IME\\svchost.exe % 各驱动器根目录 %\\setup.exe % 各驱动器根目录 %\\autorun.inf 2 、修改注册表,添加两处启动项,以达到随机启动的目的: HKEY_LOCAL_MACHINE\\SOFTWARE \\Microsoft\\Windows\\CurrentVersion\\Run 新建键值:字串:"Internt"="C: \\WINDOWS\\system32\\internt.exe" HKEY_LOCAL_MACHINE\\SOFTWARE \\Microsoft\\Windows\\CurrentVersion\\Run 新建键值:字串:"Program file"="C: \\WINDOWS\\system32\\progmon.exe" 3 、修改注册表,创建服务,以达到随机启动的目的: 服务名称: Alerter COM+ 映像路径: %system32%\\IME\\svchost.exe 启动方式:自动 4、锁定隐藏文件选项,使用户无法显示隐藏文件: HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft \\Windows\\CurrentVersion\\Explorer \\Advanced\\Folder\\Hidden\\SHOWALL\\CheckedValue 新键值: DWORD: 0(0) 原键值: DWORD: 1 (0x1) 5、禁止 IE 使用代理服务器: HKEY_USERS\\S-1-5-18\\Software \\Microsoft\\Windows\\CurrentVersion \\Internet Settings\\ProxyEnable 新建键值: DWORD: 0 (0) HKEY_USERS\\.DEFAULT\\Software \\Microsoft\\Windows\\CurrentVersion \\Internet Settings\\ProxyEnable 新建键值: DWORD: 0 (0) 6、 连接网络,下载病毒文件: 网址: http://w.d*y52*.com 路径: /0.exe Trojan-Spy.Win32.Delf.vr /nogui.exe 为 winpacp3.0 安装文件 /wpcap.dll winpacp 相关库文件 /psexec.exe 一个低权限远端命令行执行工具 /Server.exe 下载病毒原程序作为副本 /arp.exe 网络叹嗅工具 /down/game01.exe Trojan-Proxy.Win32.Small.du /down/game02.exe Trojan-Proxy.Win32.Small.du /down/game03.exe Trojan-Proxy.Win32.Small.du /down/game04.exe Trojan-Proxy.Win32.Small.du /down/game05.exe Trojan-Proxy.Win32.Small.du /down/game06.exe Trojan-Proxy.Win32.Small.du /down/game07.exe Trojan-Proxy.Win32.Small.du /down/game08.exe Trojan-Proxy.Win32.Small.du /down/game09.exe Trojan-Proxy.Win32.Small.du /down/game10.exe Trojan-PSW.Win32.OnLineGames.nn /down/game11.exe Trojan-PSW.Win32.OnLineGames.nt /down/game12.exe Trojan-PSW.Win32.OnLineGames.od /down/game13.exe Trojan-PSW.Win32.OnLineGames.zb /down/game14.exe Trojan-PSW.Win32.OnLineGames.rd /down/game15.exe Trojan-PSW.Win32.OnLineGames.yn /down/game16.exe Trojan-PSW.Win32.OnLineGames.xt /down/game17.exe Trojan-PSW.Win32.OnLineGames.yk /down/game18.exe Trojan-PSW.Win32.OnLineGames.wh /down/game19.exe Trojan-PSW.Win32.OnLineGames.xi /down/game20.exe Trojan-PSW.Win32.OnLineGames.zq 注:%vsystem32% 是一个可变路径。病毒通过查询操作系统来决定当前 vsystem32 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt\\system32 ,windows95/98/me/xp 中默认的安装路径是 C:\\Windows\\system32 。 清除方案1 、使用安天木马防线可彻底清除此病毒 ( 推荐 ) 2 、手工清除请按照行为分析删除对应文件,恢复相关系统设置。 (1)使用 安天木马防线 “进程/服务管理”关闭病毒进程 (2) 删除病毒文件: %system23%\\ internt.exe %system32%\\progmon.exe %system32%\\IME\\svchost.exe % 各驱动器根目录 %\\setup.exe % 各驱动器根目录 %\\autorun.inf (3)恢复病毒修改的注册表项目,删除病毒添加的注册表项。 HKEY_LOCAL_MACHINE\\SOFTWARE \\Microsoft\\Windows\\CurrentVersion\\Run 新建键值: 字串: "Internt"="C:\\WINDOWS \\system32\\internt.exe" HKEY_LOCAL_MACHINE\\SOFTWARE \\Microsoft\\Windows\\CurrentVersion\\Run 新建键值: 字串: "Program file"="C: \\WINDOWS\\system32\\progmon.exe" HKEY_USERS\\S-1-5-18\\Software \\Microsoft\\Windows\\CurrentVersion \\Internet Settings\\ProxyEnable 新建键值: DWORD: 0 (0) HKEY_USERS\\.DEFAULT\\Software \\Microsoft\\Windows\\CurrentVersion \\Internet Settings\\ProxyEnable 新建键值 : DWORD: 0 (0) 删除下面项的所有子项: HKEY_LOCAL_MACHINE\\SYSTEM \\ControlSet001\\Services \\Alerter COM+ 恢复注册表原键值: HKEY_LOCAL_MACHINE\\SOFTWARE \\Microsoft\\Windows\\CurrentVersion \\Explorer\\Advanced\\Folder \\Hidden\\SHOWALL\\CheckedValue 新键值: DWORD: 0 (0) 原键值: DWORD: 1 (0x1) |
随便看 |
百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。