病毒标签

病毒描述

行为分析

病毒标签

病毒名称： Trojan.Win32.Agent.bi

病毒类型： 木马

危害等级： 中

文件长度： 12,255 字节

感染系统： windows 9x 及以上版本

开发工具： Visual C++

加壳类型： 未知壳

病毒描述

该木马会修改注册表设置并删除系统中 MIME 控制，该木马会修改注册表的 键值 ，删除某些 键值， 修改系统服务配置，达到随系统启动的目的。拷贝自身到 %System% 下，病毒名后两个字符不定。修改注册表中 CLSID 下的键值，更改 IE 设置。

行为分析

1 、修改注册表如下键值：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control

\\ServiceCurrent\\@

旧值： DWORD: 7 (0x7) 新值 : DWORD: 8 (0x8)

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\kmixer\\Enum

\\Count

旧值： DWORD: 0 (0) 新值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\kmixer\\Enum

\extInstance

旧值： DWORD: 0 (0) 新值 : DWORD: 1 (0x1)

新建值如下：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\{33EAF5FD-7FC6-F387-E5DB-FBB059A0113A}\\LocalServer32\\@ 键值为病毒所在路径。 HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\ 11F 咪 # 泛闹 `I

\\DisplayName

键值： 字串 : "Network Security Service (NSS)" HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\ 11F 咪 # 泛闹 `I

\\ErrorControl

键值： DWORD: 0 (0)

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\ 11F 咪 # 泛闹 `I\\ImagePath

键值：病毒所在路径

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ 11F 咪 # 泛闹 `I

\\DisplayName

键值 : 字串 : "Network Security Service (NSS)"

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\ 11F 咪 # 泛闹 `I

\\ObjectName

键值 : 字串 : "LocalSystem"

2 、修改以下四种服务配置中的一种，把这个服务过程的主线程连接到服务控制管理程序中，并更新服务控制管理程序的状态信息，从而达到随系统启动的目的。

Network Security Service

Network Security Service (NSS)

Remote Procedure Call (RPC) Helper

Workstation Netlogon Service

3 、添加注册表中的 RunServices 项和 Applications 项 ：

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion

\\RunServices

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

ShellCompatibility\\Applications\\

建值由释放的病毒体名决定 .

4 、大量修改如下键值：

HKEY_CURRENT_USER\\CLSID\\{unique_id}\\LocalServer32\\

{Default} = <path>\\<filename.exe>

5 、释放病毒体：

Windows 2000 和 NT 下，位于 %Windir%\\System32\\

Windows 95 、 98 和 ME 下，位于 %Windir%\\System32

Windows XP 下，位于 %Windir%\\System32

6 、释放的病毒体名不定 , 从 "0123456789ABCDEF" 随机选取两个字符作为病毒名的

后两个字节。病毒体名前字符串为以下几种：

add api app atl cr cr d3 ie ip java mfc ms net nt sdk sys win

举例： addxy.exe