TrojanProxy.Mitglieder.b

病毒长度：33,290 字节 46,080 字节

病毒类型：木马

危害等级：*

影响平台：Win9X/2000/XP/NT/Me/2003

TrojanProxy.Mitglieder.b经UPX压缩的代理木马程序，下载木马程序。

传播过程及特征：

1.复制自身：

%system%\\system.exe

2.修改注册表：

[HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\ CurrentVersion\\Run]

"ssgrate.exe" = %System%\\system.exe

3.结束下列进程：

ATUPDATER.EXE

AVWUPD32.EXE

AVPUPD.EXE

LUALL.EXE

DRWEBUPW.EXE

ICSSUPPNT.EXE

ICSUPP95.EXE

UPDATE.EXE

NUPGRADE.EXE

ATUPDATER.EXE

AUPDATE.EXE

AUTODOWN.EXE

AUTOTRACE.EXE

AUTOUPDATE.EXE

AVXQUAR.EXE

CFIAUDIT.EXE

MCUPDATE.EXE

NUPGRADE.EXE

4.连接下列站点并通告攻击者：

http://www.block-investment.de/[blocked]/nro4.php

http://www.gasterixx.de/[blocked]/nro4.php

http://www.deadlygames.de/[blocked]/nro4.php

http://www.o-problemo.de/[blocked]/nro4.php

http://www.tv87.de/[blocked]/nro4.php

http://www.ranknet.de/[blocked]/nro4.php

http://www.remix-world.de/[blocked]/nro4.php

http://www.joerrens.de/[blocked]/nro4.php

http://www.bbszene.de/[blocked]/nro4.php

http://www.nikofor.com/[blocked].php

http://www.dyna-maik.de/[blocked]/nro4.php

http://www.werk3.de/[blocked]/nro4.php

http://www.gebr-wachs.de/[blocked]/nro4.php

http://www.rgs-rostock.de/[blocked]/nro4.php

http://www.lords-of-havoc.de/[blocked]/nro4.php

5.在感染的计算机上开放后门端口39999，在此接收攻击者发出的指令。

6.从特定的站点下载盗取密码的木马文件，并存储为%Windir%SAGEBOX.EXE：

http://www.rgs-rostock.de/[blocked]/x.exe

http://www.gebr-wachs.de/[blocked]/x.exe

http://www.lords-of-havoc.de/[blocked]/x.exe

注：%Windir%为变量，一般为C:\\Windows 或 C:\\Winnt；

%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000),

或 C:\\Windows\\System32 (Windows XP)。