Trojan.Win32.BHO.ab是一种木马类的病毒名称，病毒运行后衍生病毒文件到系统目录下，修改注册表，添加启动项，以达到随浏览器启动而启动的目的，启动后进行劫持浏览器，键盘记录等相关病毒行为。

病毒简介(基本信息 具体描述)

行为分析

病毒简介

基本信息

病毒名称： Trojan.Win32.BHO.ab

病毒类型： 木马类

文件 MD5： 86773C42FF56F72CF1CEB3C120A5BE26

公开范围： 完全公开

危害等级： 3

文件长度： 135,168 字节

感染系统： windows 98以上版本

开发工具： Microsoft Visual C++ 7.0

加壳类型： 无

具体描述

该病毒为木马类，病毒运行后衍生病毒文件到系统目录下。 修改注册表，添加启动项，以达到随浏览器启动而启动的目的，启动后进行劫持浏览器，键盘记录等相关病毒行为。主动连接网络，下载相关病毒文件信息。该病毒通过恶意网站、其它病毒/木马下载传播，可以盗取用户敏感信息。

行为分析

1、病毒运行后，衍生病毒文件到系统目录下：

%Program Files%\etMeeting\\lawugeqi

%Program Files%\etMeeting\\lawugeqi.dll

%Program Files%\etMeeting\\ progyrtaky.html

2、修改注册表，添加启动项，以达到随浏览器启动而启动的目的：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\\InProcServer32

键值: 字串: "　默认　" = "C:\\Program Files\etMeeting\\lawugeqi.dll"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Browser Helper Objects\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\\

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Browser Helper Objects\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}

键值: 字串: "　默认　" = "0"

3、lawugeqi.dll随IEXPLORER.EXE进程的启动而启动，进行劫持浏览器，键盘记录等相关病毒行为。

4、主动连接网络，下载相关病毒文件信息:

地址:端口 如下：

193.189.93.14:80

209.139.239.118:80

69.20.25.92:80

209.162.178.14:80

下载文件如下：

to[1].htm

zone[1].htm

actdkpubid64[1].htm

tekID64[1].ini

hGFdeYYm64pUIdwQ[1].exe

5、该病毒通过恶意网站、其它病毒/木马下载传播，可以进行劫持浏览器，键盘记录,盗取用户敏感信息等。

注释：

%Windir% WINDODWS所在目录

%DriveLetter% 逻辑驱动器根目录

%ProgramFiles% 系统程序默认安装目录

%HomeDrive% 当前启动系统所在分区

%Documents and Settings% 当前用户文档根目录

%Temp% 当前用户TEMP缓存变量；路径为：

%Documents and Settings%\\当前用户\\Local Settings\\Temp

%System32% 是一个可变路径；

病毒通过查询操作系统来决定当前System32文件夹的位置；

Windows2000/NT中默认的安装路径是　C:\\Winnt\\System32；

Windows95/98/Me中默认的安装路径是　C:\\Windows\\System；

WindowsXP中默认的安装路径是　C:\\Windows\\System32。

四、 清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiycom 。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiycom或http://www.antiycom/download/index.htm 。

(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程

强行终止lawugeqi.dll运行

(2) 强行删除病毒文件

%Program Files%\etMeeting\\lawugeqi

%Program Files%\etMeeting\\lawugeqi.dll

%Program Files%\etMeeting\\ progyrtaky.html

to[1].htm

zone[1].htm

actdkpubid64[1].htm

tekID64[1].ini

hGFdeYYm64pUIdwQ[1].exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\CLSID\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\\InProcServer32

键值: 字串: "　默认　" = "C:\\Program Files\etMeeting\\lawugeqi.dll"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Browser Helper Objects\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\\

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Browser Helper Objects\\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}

键值: 字串: "　默认　" = "0"