病毒标签：

病毒描述：

清除方案：

病毒标签：

病毒名称： Trojan/Win32.Agent.bqqb[Proxy]

病毒类型： 木马

文件 MD5： 38A7AAA9612401114396F7FF4E78F5C0

公开范围： 完全公开

危害等级： 4

文件长度： 36,864 字节

感染系统： Windows98以上版本

开发工具： Borland Delphi 6.0 - 7.0

加壳类型： UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo [Overlay]

病毒描述：

该病毒为代理木马类，病毒运行后，衍生病毒文件到%Windir%目录下，创建注册表病毒服务、通过服务启动病毒文件、衍生的病毒启动之后创建病毒文件"smss.exe"到%Windir%目录下，伪装系统文件，向该病毒写入247296字节数据，动态获取大量API函数地址，判断当前进程是否有病毒smss.exe进程，如有则释放BAT批处理文件删除自身。

smss.exe病毒文件分析：创建互斥量名为"xinduanyou"，确定当前系统版本是否为windows xp，如是则创建病毒驱动设备名"\\\\.\\myprot"，删除%Windir%目录下的winsys.exe、winsys.inf、%System32%\\drivers目录下的winyyy.sys病毒文件，并重新衍生这几个病毒文件，释放驱动文件到%System32%\\drivers目录下，创建注册表病毒服务，添加注册表启动项，开启iexplore.exe进程连接网络读取信息试图下载恶意病毒文件。

清除方案：

1、使用安天防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

（1） 使用ATOOL进程管理工具结束

iexploer.exe、winsscoo.exe、smss.exe进程

（2） 强行删除%WINDOWS%\\Down_Temp目录下所有的病毒文件

%System32%\\drivers\\winyyy.sys

%Windir%\\inf\\oem5.inf

%Windir%\\inf\\oem5.PNF

%Windir%\\inf\\INFCACHE.1

%Windir%\\winsscoo.exe

%Windir%\\smss.exe

%Windir%\\LastGood\\INF\\oem5.inf

%Windir%\\LastGood\\INF\\oem5.PNF

（3） 删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\WinSSCOM

删除Services键值下的WinSSCOM主键值

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\MyProt

删除Services键值下的MyProt主键值

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Control\etwork\\{4D36E975-E325-11CE-BFC1-08002BE10318}

删除Network键值下的{4D36E975-E325-11CE-BFC1-08002BE10318}键值

HKEY_LOCAL_MACHINE\\SYSTEM\\LastKnownGoodRecovery\\LastGood\\INF/oem5.inf

删除LastGood键值下的oem5.inf、oem5.PNF键值

更多详细内容请参见：http://www.antiyfx.com/article/security/2009-02-23_003.htm