病毒症状

感染对象

传播途径

病毒分析

解决办法

变量声明

病毒症状

该样本是使用“C语言”编写的木马下载者，长度为18,959字节，采用UPX加壳，“ exe”扩展名，通过网页木马、下载器下载、等方式进行传播。 用户中毒后，会出现计算机及网络运行缓慢，异常网络访问、出现大量未知进程等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载

病毒分析

1.病毒运行后首先检查自己路径是否为"%SystemRoot%\\system32\\svchost.exe"，如果不是再次检查是否为"%SystemRoot%\\system32\\3874jr98.exe"。

2.不是则拷贝自己为3874jr98.exe，调用CreateProcessInternalA执行此文件，如果失败，再次调用ShellExecuteA执行此文件，调用命令行自我删除。

3.释放驱动文件PCIdump.sys，创建服务，通过向名称为"\\\\.\\fuck1986"的设备发送控制码，恢复SSDT，使杀毒软件失效。

4.当3874jr98.exe执行后，创建名称为0983240923je9832的服务，并启动，然后退出当前进程。

5.服务启动后，创建互斥量，注入svchost.exe，创建线程，连接网络，下载病毒到本地保存为%SystemDriver%\\long.exe

病毒创建文件：

%SystemRoot%\\system32\\3874jr98.exe

%SystemRoot%\\system32\\drivers\\pcidump.sys

%SystemDriver%\\long.exe

病毒创建注册表：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\93jr9j329r30942

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\pcidump

解决办法

1、手动删除以下文件(如遇提示无法删除文件，下载费尔木马强制删除器工具进行强制删除)：

%SystemRoot%\\system32\\3874jr98.exe

%SystemRoot%\\system32\\drivers\\pcidump.sys

%SystemDriver%\\long.exe

2、手动删除以下注册表(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)：

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\93jr9j329r30942

HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\pcidump

变量声明

%SystemDriver%　系统所在分区，通常为“C:\\”

%SystemRoot%　WINDODWS所在目录，通常为“C:\\Windows”

%Documents and Settings%　用户文档目录，通常为“C:\\Documents and Settings”

%Temp%　临时文件夹，通常为“C:\\Documents and Settings\\当前用户名称\\Local Settings\\Temp”

%ProgramFiles%　系统程序默认安装目录，通常为：“C:\\ProgramFiles”