Trojan-PSW.Win32.WOW.ck该病毒属木马类

资料

病毒描述

行为分析

注

清除方案(安天木马防线 手工清除)

资料

病毒名称： Trojan-PSW.Win32.

病毒类型： 木马

文件 MD5： 072C9A1423C27FBB1D942D6A2FA4E4FE

公开范围： 完全公开

危害等级： 3

文件长度： 46,350 字节

感染系统： Win9X以上系统

开发工具： Microsoft Visual Basic 5.0 / 6.0

加壳类型： nSPack 3.1

病毒描述

该病毒属木马类。病毒运行后在 program files 、 %windir% 、 %system32% 文件夹下复制自身，生成 14 个病毒文件；修改注册表，添加启动项，以达到随机启动的目的；将 IE 更改为非默认浏览器；修改 大部分文件的启动方式，和文件关联，并创建新的文件类型。

行为分析

1 、 病毒运行后在系统盘下大量复制自身：

c:\\Program Files\\Common Files\\inexplore.pif

c:\\Program Files\\Internet Explorer\\

%windir%

% windir%\\Debug\\DebugProgram.exe

% windir%\\exerouter.exe

% windir%\\

% windir%\\

% windir%\\Shell.sys

%system32%\\smss.exe

%system32%\\command.pif

%system32%\\

%system32%\\

%system32%\\

%system32%\\

2 、 修改注册表，添加启动项，以达到随机启动的目的：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

键值 : 字串 : "TProgram"="C:\\WINNT\\smss.exe"

3 、 将 IE 更改为非默认浏览器：

HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main

键值 : 字串 : "Check_Associations"="No"

4 、 修改文件的启动方式和文件关联：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\.bfc\\ShellNew

新键值 : 字串 : "Command"="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"

原键值 : 可扩充字串 : "Command"="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\.exe

新键值 : 字串 : @="WindowFiles"

原键值 : 字串 : @="exefile"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Applications\\iexplore.exe\\shell\\open\\

command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\" %1"

原键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\{871C5380-42A0-1069-A2EA-

08002B30309D}\\shell\\OpenHomePage\\Command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\""

原键值 : 可扩充字串 : @="C:\\Program Files\\Internet Explorer\\iexplore.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Drive\\shell\\find\\command

新键值 : 字串 : @="%SystemRoot%\\"

原键值 : 可扩充字串 : @="%SystemRoot%\\Explorer.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\dunfile\\shell\\open\\command

新键值 : 字串 : @="%SystemRoot%\\system32\\RUNDLL32.EXE

NETSHELL.DLL,InvokeDunFile %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\system32\\RUNDLL32.EXE

NETSHELL.DLL,InvokeDunFile %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ftp\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\ %1"

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\" -nohome"

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\opennew\\command

新键值 : 字串 : @=""C:\\Program Files\\common~1\\inexplore.pif""

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\iexplore.exe""

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\print\\command

新键值 : 字串 : @="rundll32.exe %SystemRoot%\\system32\\mshtml.dll,

PrintHTML "%1""

原键值 : 可扩充字串 : @="rundll32.exe %SystemRoot%\\system32\\mshtml.dll,

PrintHTML"%1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\http\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\common~1\\inexplore.pif" -nohome"

原键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\inffile\\shell\\Install\\command

新键值 : 字串 : @="%SystemRoot%\\System32\\rundll32.exe setupapi,

InstallHinfSectionDefaultInstall 132 %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\System32\\rundll32.exe

setupapi,InstallHinfSection DefaultInstall 132 %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Unknown\\shell\\openas\\command

新键值 : 字串 : @="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\shell32.dll,OpenAs_RunDLL %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\shell32.dll,OpenAs_RunDLL %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

新键值 : 字串 : "Shell"="explorer.exe 1"

原键值 : 字串 : "Shell"="Explorer.exe"

注

%windir% 是一个可变路径。病毒通过查询操作系统来决定当前 windows 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt ， windows95/98/me/xp 中默认的安装路径是 C:\\Windows;%system32% 同理。

--------------------------------------------------------------------------------

清除方案

安天木马防线

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

手工清除

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程

(2) 删除病毒文件：

c:\\Program Files\\Common Files\\inexplore.pif

c:\\Program Files\\Internet Explorer\\

%windir%　% windir%\\Debug\\DebugProgram.exe

% windir%\\exerouter.exe

% windir%\\

% windir%\\

% windir%\\Shell.sys

%system32%\\smss.exe

%system32%\\　%system32%\\

%system32%\\ it

%system32%\\

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\

CurrentVersion\\Run

键值 : 字串 : "TProgram"="C:\\WINNT\\smss.exe"

HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main

键值 : 字串 : "Check_Associations"="No"

恢复注册表原键值（如果有注册表备份可以直接将其导入）：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\.bfc\\ShellNew

新键值 : 字串 : "Command"="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\syncui.dll,Briefcase_Create %2!d! %1"

原键值 : 可扩充字串 : "Command"="%SystemRoot%\\system32\\

rundll32.exe %SystemRoot%\\system32\\syncui.dll,

Briefcase_Create %2!d! %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\.exe

新键值 : 字串 : @="WindowFiles"

原键值 : 字串 : @="exefile"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Applications\\iexplore.exe\\

shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\InternetExplorer\\

" %1"

原键值 : 字串 : @=""C:\\Program Files\\Internet

Explorer\\iexplore.exe" %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\

{871C5380-42A0-1069-A2EA-08002B30309D}\\

shell\\OpenHomePage\\Command

新键值 : 字串 : @=""C:\\Program Files\\InternetExplorer\\

""

原键值 : 可扩充字串 : @="C:\\Program Files\\Internet Explorer\\

iexplore.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Drive\\shell\\find\\command

新键值 : 字串 : @="%SystemRoot%\\"

原键值 : 可扩充字串 : @="%SystemRoot%\\Explorer.exe"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\dunfile\\shell\\open\\command

新键值 : 字串 : @="%SystemRoot%\\system32\\RUNDLL32.EXE

NETSHELL.DLL,InvokeDunFile %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\system32\\RUNDLL32.EXE

NETSHELL.DLL,InvokeDunFile %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\ftp\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\

%1"

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\

iexplore.exe" %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\

" -nohome"

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\

iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\opennew\\

command

新键值 : 字串 : @=""C:\\Program Files\\common~1\\inexplore.pif""

原键值 : 字 串 : @=""C:\\Program Files\\Internet Explorer\\

iexplore.exe""

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\htmlfile\\shell\\print\\

command

新键值 : 字串 : @="rundll32.exe %SystemRoot%\\system32\\

mshtml.dll,PrintHTML "%1""

原键值 : 可扩充字串 : @="rundll32.exe%SystemRoot%\\system32\\

mshtml.dll, PrintHTML"%1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\http\\shell\\open\\command

新键值 : 字串 : @=""C:\\Program Files\\common~1\\

inexplore.pif" -nohome"

原键值 : 字串 : @=""C:\\Program Files\\Internet Explorer\\

iexplore.exe" -nohome"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\inffile\\shell\\Install\\

command

新键值 : 字串 : @="%SystemRoot%\\System32\\rundll32.exe

setupapi,InstallHinfSection DefaultInstall 132 %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\System32\\rundll32.exe

setupapi,InstallHinfSection DefaultInstall 132 %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\Unknown\\shell\\openas\\

command

新键值 : 字串 : @="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\shell32.dll,OpenAs_RunDLL %1"

原键值 : 可扩充字串 : @="%SystemRoot%\\system32\\rundll32.exe

%SystemRoot%\\system32\\shell32.dll,OpenAs_RunDLL %1"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\

CurrentVersion\\Winlogon

新键值 : 字串 : "Shell"="explorer.exe 1"

原键值 : 字串 : "Shell"="Explorer.exe"