简介

病毒行为(1、病毒运行后释放出伪系统正常文件 2、病毒添加注册表项 3、删除注册表项 4、下载其他病毒 5、下载病毒种类)

简介

病毒别名： 处理时间：2006-08-23 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为

该病毒为Windows平台下的其它木马下载器，病毒运行后将释放出伪系统正常文件，然后运行释放出的程序，释放出的程序运行后将下载代码注入系统正常程序进程进行下载其它病毒。

病毒主要通过软件捆绑方式进行传播。

1、病毒运行后释放出伪系统正常文件

%Windir%\\system32\\dserver.exe

2、病毒添加注册表项

病毒添加注册表项，使病毒开机后自动运行:

[HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon]

"Shell" = "Explorer.exe %Windir%\\system32\\dserver.exe"

[HKEY_CURRENT_USER\\SoftWare\\Microsoft\\Windows\\CurrentVersion\\Run]

"dserver.exe" = "%Windir%\\system\\dserver.exe"

3、删除注册表项

病毒通过删除以下注册表项使病毒生成的临时程序可以被正常执行:

主键:[HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\WinOldApp]

名称:NoRealMode

4、下载其他病毒

病毒运行过程中通过查找窗体类名为"Shell_TrayWnd"来定位Explorer进程，然后将下载代码注入该进程中进行下载其它病毒。

5、下载病毒种类

网络可用时病毒下载以下病毒程序:

http://www.56*.net.cn/mm/1.exe

http://www.56*.net.cn/mm/2.exe

http://www.56*.net.cn/mm/3.exe

http://www.56*.net.cn/mm/4.exe

http://www.56*.net.cn/mm/5.exe

http://www.56*.net.cn/mm/6.exe

http://www.56*.net.cn/mm/7.exe

http://www.56*.net.cn/mm/8.exe

http://www.56*.net.cn/mm/9.exe

http://www.56*.net.cn/mm/10.exe

http://www.56*.net.cn/mm/11.exe

http://www.56*.net.cn/mm/12.exe

http://www.56*.net.cn/mm/13.exe

http://www.56*.net.cn/mm/14.exe

http://www.56*.net.cn/mm/15.exe

http://www.56*.net.cn/mm/16.exe

http://www.56*.net.cn/mm/17.exe

http://www.56*.net.cn/mm/18.exe

http://www.56*.net.cn/mm/19.exe

http://www.56*.net.cn/mm/20.exe

http://www.56*.net.cn/mm/21.exe

http://www.56*.net.cn/mm/22.exe

http://www.56*.net.cn/mm/23.exe

http://www.56*.net.cn/mm/24.exe

http://www.56*.net.cn/mm/25.exe

http://www.56*.net.cn/mm/26.exe

http://www.56*.net.cn/mm/27.exe

http://www.56*.net.cn/mm/28.exe

http://www.56*.net.cn/mm/29.exe

http://www.56*.net.cn/mm/30.exe