该病毒属后门类，是灰鸽子的变种。该病毒运行后衍生病毒文件%WINDIR%\\system.ini.exe，修改注册表，启动W32Time服务。该病毒在用户机器上开启后门，病毒作者可以随时进入用户机器，盗取用户的敏感信息和拷贝、删除等操作。

病毒简介

行为分析

清除方案

专家建议

病毒简介

病毒类型： 后门

文件 MD5： 3525931484CC6EA6F62D4EADB92F99AB

公开范围： 完全公开

危害等级： 中

文件长度： 284,686 字节

感染系统： Windows98以上版本

开发工具： Borland Delphi 5.0 – 6.0

加壳类型： 未知壳

命名对照： Symentec[]

Mcafee[]

行为分析

：

1、病毒运行后衍生病毒文件：

%WINDIR%\\system.ini.exe

2、修改注册表：

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\

键值: 字串: "@"="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG

键值: 字串: "0000"="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\0000

键值: 字串: " Class "="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\0000\\

键值: 字串: "ClassGUID "=""

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\0000\\Control

键值: 字串: "ActiveService "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\0000

键值: 字串: "DeviceDesc "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_OLG\\0000

键值: 字串: "Service "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "DisplayName"="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg\\Enum

键值: 字串: "0"="Root\\LEGACY_OLG\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "ImagePath "="C:\\WINDOWS\\system.ini.exe. "

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "ObjectName "="LocalSystem"

3、启动W32Time服务：

启动W32Time服务：维护在网络上的所有客户端和服务器的时间和日期同步。如果此服务被停止，时间和日期的同步将不可用。如果此服务被禁用，任何明确依赖它的服务都将不能启动。

注：%WINDIR%是一个可变路径。病毒通过查询操作系统来决定当前windir文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt，windows95/98/me/XP中默认的安装路径是C:\\Windows。

清除方案

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%\\system.ini.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001

\\Enum\\Root\\LEGACY_OLG\\

键值: 字串: "@"="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001

\\Enum\\Root\\LEGACY_OLG

键值: 字串: "0000"="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001

\\Enum\\Root\\LEGACY_OLG\\0000

键值: 字串: " Class "="LegacyDriver"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001

\\Enum\\Root\\LEGACY_OLG\\0000\\

键值: 字串: "ClassGUID "="{8ECC055D-047F-11D1

-A537-0000F8753ED1}"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum

\\Root\\LEGACY_OLG\\0000\\Control

键值: 字串: "ActiveService "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum

\\Root\\LEGACY_OLG\\0000

键值: 字串: "DeviceDesc "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum

\\Root\\LEGACY_OLG\\0000

键值: 字串: "Service "="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "DisplayName"="olg"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg\\Enum

键值: 字串: "0"="Root\\LEGACY_OLG\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "ImagePath "="C:\\WINDOWS\\system.ini.exe. "

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\olg

键值: 字串: "ObjectName "="LocalSystem"

专家建议

1.注意系统安装的杀毒软件是否运行正常。

2.在任务管理器中查看是否有陌生的比较可疑的进程存在。

3.尽快安装杀毒软件并开启实时监控功能。

手动查杀方法:

1.在任务管理器中看一下是否有iexplore.exe（在没有开启IE浏览器的情况下查看），有则将其结束。

2.将C:\\Documents and Settings\\（登陆系统的用户名）\\Local Settings\\Temp文件夹清空。

3.在注册表中删除 HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\smss项和 HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\wextract_cleanup0项 。