请输入您要查询的百科知识:

 

词条 Trojan-Downloader.Win32.Small.czo
释义

该病毒属木马类。病毒运行后复制自身到 %system32% 下及其附属目录下;在所有盘幅根目录下创建病毒副本,文件名为 setup.exe ,并衍生病毒文件 autorun.inf ,达到随双击盘幅启动病毒的目的;修改注册表,添加两处启动项、创建服务,以达到随机启动的目的;锁定隐藏文件选项,使用户无法显示隐藏文件。访问网络,下载病毒文件。

病毒简介

病毒名称: Trojan-Downloader.Win32.Small.czo

病毒类型: 木马

文件 MD5: 120521DB73BBF1D0A8BDFB90E2D758B

公开范围: 完全公开

危害等级: 3

文件长度: 14,689 字节

感染系统: windows 98以上版本

开发工具: Microsoft Visual C++ 6.0

加壳工具: FSG 2.0 -> bart/xt

行为分析

1 、病毒运行后复制自身到 %system32% 及其附属目录下,并在所有盘根目录下创建病毒文件副本,并衍生病毒文件。

%system23%\\ internt.exe

%system32%\\progmon.exe

%system32%\\IME\\svchost.exe

% 各驱动器根目录 %\\setup.exe

% 各驱动器根目录 %\\autorun.inf

2 、修改注册表,添加两处启动项,以达到随机启动的目的:

HKEY_LOCAL_MACHINE\\SOFTWARE

\\Microsoft\\Windows\\CurrentVersion\\Run

新建键值:字串:"Internt"="C:

\\WINDOWS\\system32\\internt.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE

\\Microsoft\\Windows\\CurrentVersion\\Run

新建键值:字串:"Program file"="C:

\\WINDOWS\\system32\\progmon.exe"

3 、修改注册表,创建服务,以达到随机启动的目的:

服务名称: Alerter COM+

映像路径: %system32%\\IME\\svchost.exe

启动方式:自动

4、锁定隐藏文件选项,使用户无法显示隐藏文件:

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft

\\Windows\\CurrentVersion\\Explorer

\\Advanced\\Folder\\Hidden\\SHOWALL\\CheckedValue

新键值: DWORD: 0(0)

原键值: DWORD: 1 (0x1)

5、禁止 IE 使用代理服务器:

HKEY_USERS\\S-1-5-18\\Software

\\Microsoft\\Windows\\CurrentVersion

\\Internet Settings\\ProxyEnable

新建键值: DWORD: 0 (0)

HKEY_USERS\\.DEFAULT\\Software

\\Microsoft\\Windows\\CurrentVersion

\\Internet Settings\\ProxyEnable

新建键值: DWORD: 0 (0)

6、 连接网络,下载病毒文件:

网址: http://w.d*y52*.com

路径:

/0.exe Trojan-Spy.Win32.Delf.vr

/nogui.exe 为 winpacp3.0 安装文件

/wpcap.dll winpacp 相关库文件

/psexec.exe 一个低权限远端命令行执行工具

/Server.exe 下载病毒原程序作为副本

/arp.exe 网络叹嗅工具

/down/game01.exe Trojan-Proxy.Win32.Small.du

/down/game02.exe Trojan-Proxy.Win32.Small.du

/down/game03.exe Trojan-Proxy.Win32.Small.du

/down/game04.exe Trojan-Proxy.Win32.Small.du

/down/game05.exe Trojan-Proxy.Win32.Small.du

/down/game06.exe Trojan-Proxy.Win32.Small.du

/down/game07.exe Trojan-Proxy.Win32.Small.du

/down/game08.exe Trojan-Proxy.Win32.Small.du

/down/game09.exe Trojan-Proxy.Win32.Small.du

/down/game10.exe Trojan-PSW.Win32.OnLineGames.nn

/down/game11.exe Trojan-PSW.Win32.OnLineGames.nt

/down/game12.exe Trojan-PSW.Win32.OnLineGames.od

/down/game13.exe Trojan-PSW.Win32.OnLineGames.zb

/down/game14.exe Trojan-PSW.Win32.OnLineGames.rd

/down/game15.exe Trojan-PSW.Win32.OnLineGames.yn

/down/game16.exe Trojan-PSW.Win32.OnLineGames.xt

/down/game17.exe Trojan-PSW.Win32.OnLineGames.yk

/down/game18.exe Trojan-PSW.Win32.OnLineGames.wh

/down/game19.exe Trojan-PSW.Win32.OnLineGames.xi

/down/game20.exe Trojan-PSW.Win32.OnLineGames.zq

注:%vsystem32% 是一个可变路径。病毒通过查询操作系统来决定当前 vsystem32

文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt\\system32 ,windows95/98/me/xp 中默认的安装路径是 C:\\Windows\\system32 。

清除方案

1 、使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、手工清除请按照行为分析删除对应文件,恢复相关系统设置。

(1)使用 安天木马防线 “进程/服务管理”关闭病毒进程

(2) 删除病毒文件:

%system23%\\ internt.exe

%system32%\\progmon.exe

%system32%\\IME\\svchost.exe

% 各驱动器根目录 %\\setup.exe

% 各驱动器根目录 %\\autorun.inf

(3)恢复病毒修改的注册表项目,删除病毒添加的注册表项。

HKEY_LOCAL_MACHINE\\SOFTWARE

\\Microsoft\\Windows\\CurrentVersion\\Run

新建键值: 字串: "Internt"="C:\\WINDOWS

\\system32\\internt.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE

\\Microsoft\\Windows\\CurrentVersion\\Run

新建键值: 字串: "Program file"="C:

\\WINDOWS\\system32\\progmon.exe"

HKEY_USERS\\S-1-5-18\\Software

\\Microsoft\\Windows\\CurrentVersion

\\Internet Settings\\ProxyEnable

新建键值: DWORD: 0 (0)

HKEY_USERS\\.DEFAULT\\Software

\\Microsoft\\Windows\\CurrentVersion

\\Internet Settings\\ProxyEnable

新建键值 : DWORD: 0 (0)

删除下面项的所有子项:

HKEY_LOCAL_MACHINE\\SYSTEM

\\ControlSet001\\Services

\\Alerter COM+

恢复注册表原键值:

HKEY_LOCAL_MACHINE\\SOFTWARE

\\Microsoft\\Windows\\CurrentVersion

\\Explorer\\Advanced\\Folder

\\Hidden\\SHOWALL\\CheckedValue

新键值: DWORD: 0 (0)

原键值: DWORD: 1 (0x1)

随便看

 

百科全书收录4421916条中文百科知识,基本涵盖了大多数领域的百科知识,是一部内容开放、自由的电子版百科全书。

 

Copyright © 2004-2023 Cnenc.net All Rights Reserved
更新时间:2025/3/14 12:57:33