|
| 下载者net.exe |
| 作者 depressedboy 查看 218 发表时间 2008/6/6 21:55 【论坛浏览】 |
|
waaakhqpj 1.病毒运行后,创建一个名为avpkav的互斥量，保证系统中只有一个实例在运行waaakhqpj waaakhqpj 2.修改注册表 更改IE主页和默认页waaakhqpj waaakhqpj HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL: "http://www.299my.com/"waaakhqpj HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\Default_Page_URL："http://www.299my.com/"waaakhqpj waaakhqpj 3.感染除下列文件夹内的exe和scr文件waaakhqpj waaakhqpj WINDOWSwaaakhqpj WINNTwaaakhqpj RECYCLERwaaakhqpj $RECYCLE.BINwaaakhqpj System Volume Informationwaaakhqpj Config.Msiwaaakhqpj InstallShield Installation Informationwaaakhqpj Internet Explorerwaaakhqpj Outlook Expresswaaakhqpj NetMeetingwaaakhqpj Common Fileswaaakhqpj Messengerwaaakhqpj Windows Media Playerwaaakhqpj WinRARwaaakhqpj MSOCachewaaakhqpj Documents and Settingswaaakhqpj waaakhqpj 被感染文件被加入一个新的区段，名为KAO，运行后会首先下载http://dd5.******.info/net.exe到C:\net.exewaaakhqpj 然后调用winexec运行该文件waaakhqpj waaakhqpj 4.每隔一段时间启动一次IE,下载waaakhqpj http://dd5.tesekl.info/win.ini到%program files%下面waaakhqpj waaakhqpj win.ini是一个后门程序waaakhqpj 该病毒运行后，将自身复制为%systemroot%\system32\winini.exewaaakhqpj waaakhqpj 创建服务WinINI达到开机启动自身的目的，服务相关信息如下：waaakhqpj 启动类型：自动waaakhqpj 映像路径："C:\WINDOWS\system32\winini.exe"waaakhqpj 显示名称："COM+ Windows System"waaakhqpj 描述："管理基于Windows对象模型 (COM+) 的组件的配置和跟踪。如果禁用此服务，显式依赖此服务的其他服务将无法启动。"waaakhqpj waaakhqpj 并且释放winsys.exe到C盘根目录下，并运行安装。这是一个嗅探器。waaakhqpj waaakhqpj 执行批处理修改Windows时间服务连接的服务器为：time.tesekl.infowaaakhqpj waaakhqpj 解决方法：waaakhqpj 下载sreng:http://www.skycn.com/soft/23312.html#downloadwaaakhqpj 将现有的杀毒软件升级到最新版本，之后重启计算机进入安全模式(开机后不断 按F8键 然后出来一个高级菜单 选择第一项 安全模式 进入系统)waaakhqpj waaakhqpj 1.打开srengwaaakhqpj “启动项目”-“服务”-“Win32服务应用程序”中点“隐藏经认证的微软项目”，waaakhqpj 选中以下项目，点“删除服务”，再点“设置”，在弹出的框中点“否”：waaakhqpj COM+ Windows System / WinINIwaaakhqpj 系统修复－Windows Shell/ IE 全选 修复waaakhqpj waaakhqpj 2.删除C:\net.exewaaakhqpj waaakhqpj 3.启动杀毒软件全盘杀毒，修复被感染的文件。注意杀毒的时候选择清除病毒，不要选择删除病毒。waaakhqpj waaakhqpj (作者：清新阳光) |
| 序号 | 评论者 | 共有评论 0 【论坛浏览】 【发表评论】 | 评论时间 |
| 当前无任何评论，或评论已被禁止显示 | |||
共有评论数 0 每页显示 10
|
|||
