基本信息

病毒描述

行为分析

基本信息

病毒别名：

处理时间：

威胁级别：★

中文名称：

病毒类型：木马

影响系统：Win9x / WinNT

病毒描述

这个是一个天堂木马病毒,它会监视用户当前活动窗口,然后窃取用户输入的天堂的帐户和密码,该病毒具有一定的反安全软件的能力,给用户带来很大的损失.

行为分析

1.生成文件:

%systemroot%\\wwf.exe

%systemroot%\\wwf.dll

2.增加注册表起始项,使病毒开机运行.

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

wow

%systemroot%\\wwf.exe

3.修改host文件,阻止用户访问一下网站:

127.0.0.1 avp.com

127.0.0.1 ca.com

127.0.0.1 customer.symantec.com

127.0.0.1 dispatch.mcafee.com

127.0.0.1 download.mcafee.com

127.0.0.1 f-secure.com

127.0.0.1 kaspersky.com

127.0.0.1 www.kasperksy-labs.com

127.0.0.1 liveupdate.symantec.com

127.0.0.1 liveupdate.symantecliveupdate.com

127.0.0.1 mast.mcafee.com

127.0.0.1 mcafee.com

127.0.0.1 my-etrust.com

127.0.0.1 nai.com

127.0.0.1 networkassociates.com

127.0.0.1 rads.mcafee.com

127.0.0.1 secure.nai.com

127.0.0.1 securityresponse.symantec.com

127.0.0.1 sophos.com

127.0.0.1 symantec.com

127.0.0.1 trendmicro.com

127.0.0.1 update.symantec.com

127.0.0.1 updates.symantec.com

127.0.0.1 us.mcafee.com

127.0.0.1 viruslist.com

127.0.0.1 www.avp.com

127.0.0.1 www.ca.com

127.0.0.1 www.f-secure.com

127.0.0.1 www.kaspersky.com

127.0.0.1 www.mcafee.com

127.0.0.1 www.my-etrust.com

127.0.0.1 www.symantec.com

127.0.0.1 www.viruslist.com

127.0.0.1 kaspersky-labs.com

127.0.0.1 downloads-eu1.kaspersky-labs.com

127.0.0.1 downloads-us1.kaspersky-labs.com

127.0.0.1 downloads1.kaspersky-labs.com

127.0.0.1 downloads2.kaspersky-labs.com

127.0.0.1 downloads3.kaspersky-labs.com

127.0.0.1 downloads4.kaspersky-labs.com

127.0.0.1 windowsupdate.microsoft.com

127.0.0.1 downloads5.kaspersky-labs.com

127.0.0.1 ftp.avp.ru

127.0.0.1 updates3.kaspersky-labs.com

127.0.0.1 updates2.kaspersky-labs.com

127.0.0.1 updates1.kaspersky-labs.com

127.0.0.1 ftp.kaspersky.com

127.0.0.1 downloads-us22.kaspersky-labs.com

127.0.0.1 downloads-us1.kaspersky-labs.com

127.0.0.1 downloads-us2l.kaspersky-labs.com

127.0.0.1 downloads-eu2l.kaspersky-labs.com

127.0.0.1 v4.windowsupdate.microsoft.com

127.0.0.1 v5.windowsupdate.microsoft.com

127.0.0.1 windowsupdate.microsoft.com

4.修改防火墙规则,逃避防火墙的监控.

5.结束系统中的一下进程:

RavMon.exe

RavMonClass

天网防火墙个人版

Tapplication

天网防火墙企业版

TForm1

噬菌体

TfLockDownMain

ZoneAlarm

ZAFrameWnd

KAVPFW.EXE

IPARMOR.EXE

EGHOST.EXE

MAILMON.EXE

6.下载其他病毒:

http://www.xxx.com/hehe/123.exe

7.设置互斥体"Semaphore",保证系统中只运行一个.