病毒行为:

木马程序,病毒会在系统的两个文件夹下生成病毒文件并创建注册表服务项以达到病毒能开机自启动。病毒通过修改注册表的方式禁用系统自动更新,如发现有 avp.exe 进程则设置系统时间为 2005 年并且关闭标题为"卡巴斯基反病毒软件 6.0:通知"的窗口。病毒会从网上下载大量的木马程序保存在客户计算机上并运行。

病毒运行后把自身复制至

%windir%\\system32\\A457B050.EXE (随机病毒名)

并生成病毒 DLL 文件

%windir%\\system32\\9C019E18.DLL (随机病毒名)

通过创建批处理文件删除病毒源文件。

病毒通过修改注册表的方法禁用系统自动更新功能。

病毒枚举客户计算机上的进程,如发现 avp.exe 则把系统时间设置为 2005 年。

病毒如发现窗口标题为"卡巴斯基反病毒软件 6.0:通知"则发送消息关闭。

病毒会读取指定的网址上的 txt 文件以获取木马下载地址,并下载木马程序保存至客户计算机上运行。

病毒枚举窗口如发现是QQ聊天窗口则发送一段指定的文字发送到聊天对象的QQ里。

病毒创建注册表服务以达到病毒自身开机自启动

Key:HKEY_CURRENT_USER\\System\\CurrentControlSet\\Services\\2F478AA0 (随机服务名)

Description:"9C019E18"

ImagePath:"%windir%\\system32\\A457B050.EXE -p"

Key:HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Enum\\Root\\LEGACY_2F478AA0

Key:HKEY_LOCAL_MACHINE\\System\\CurrentControlSet\\Services\\2F478AA0

Description:"9C019E18"

ImagePath:"%windir%\\system32\\A457B050.EXE -p"