 |
Trojan.Win32.BHO.ab分析报告 |
|
|
| Trojan.Win32.BHO.ab分析报告 |
|
| 作者：未知 文章来源：赛迪网 点击数： 更新时间：2007-10-30 1:59:34 |
|
一、 病毒标签：
病毒名称： Trojan.Win32.BHO.ab
病毒类型： 木马类
文件 MD5： 86773C42FF56F72CF1CEB3C120A5BE26
公开范围： 完全公开
危害等级： 3
文件长度： 135,168 字节
感染系统： windows 98以上版本
开发工具： Micorsoft Visual C++ 7.0
加壳类型： 无
二、 病毒描述：
该病毒为木马类，病毒运行后衍生病毒文件到系统目录下。 修改注册表，添加启动项，以达到随浏览器启动而启动的目的，启动后进行劫持浏览器，键盘记录等相关病毒行为。主动连接网络，下载相关病毒文件信息。该病毒通过恶意网站、其它病毒/木马下载传播，可以盗取用户敏感信息。
三、 行为分析：
1、病毒运行后，衍生病毒文件到系统目录下：
%Program Files%\NetMeeting\lawugeqi
%Program Files%\NetMeeting\lawugeqi.dll
%Program Files%\NetMeeting\ progyrtaky.html
2、修改注册表，添加启动项，以达到随浏览器启动而启动的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\InProcServer32
键值: 字串: " 默认 " = "C:\Program Files\NetMeeting\lawugeqi.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: " 默认 " = "0"
3、lawugeqi.dll随IEXPLORER.EXE进程的启动而启动，进行劫持浏览器，键盘记录等相关病毒行为。
4、主动连接网络，下载相关病毒文件信息:
地址:端口 如下：
193.189.93.14:80
209.139.239.118:80
69.20.25.92:80
209.162.178.14:80
下载文件如下：
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe
5、该病毒通过恶意网站、其它病毒/木马下载传播，可以进行劫持浏览器，键盘记录,盗取用户敏感信息等。
注释：
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动系统所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% 当前用户TEMP缓存变量；路径为：
%Documents and Settings%\当前用户\Local Settings\Temp
%System32% 是一个可变路径；
病毒通过查询操作系统来决定当前System32文件夹的位置；
Windows2000/NT中默认的安装路径是 C:\Winnt\System32；
Windows95/98/Me中默认的安装路径是 C:\Windows\System；
WindowsXP中默认的安装路径是 C:\Windows\System32。
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。
(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程
强行终止lawugeqi.dll运行
(2) 强行删除病毒文件
%Program Files%\NetMeeting\lawugeqi
%Program Files%\NetMeeting\lawugeqi.dll
%Program Files%\NetMeeting\ progyrtaky.html
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\InProcServer32
键值: 字串: " 默认 " = "C:\Program Files\NetMeeting\lawugeqi.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}\
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: " 默认 " = "0"
|
|
| 文章录入：郝丽 责任编辑：郝丽 |
|
|
上一篇文章： 惊现超级网游大盗 狂窃热门网游帐号
下一篇文章： 没有了 |
|
|
| 【字体：小 大】【发表评论】【加入收藏】【告诉好友】【打印此文】【关闭窗口】 |
|
|
 网友评论：（只显示最新10条。评论内容只代表网友观点，与本站立场无关！） |
|
|
|
|
|
