C:\Documents and Settings\Administrator\Application Data\services\svchost.exe
2、手动删除以下注册表项:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
名称:services
数据:C:\Documents and Settings\Administrator\Application Data\services\svchost.exe
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”作者: pioneer 时间: 2011-3-16 17:59 病毒分析
1、在目录%Documents and Settings%\Administrator\Application Data下创建文件夹services,并设置文件夹属性为隐藏;
2、比较自身是否为%Documents and Settings%\Administrator\Application Data\services\svchost.exe,如果不是,则将自身复制到该目录下并重命名为svchost.exe,运行svchost.exe,退出自身进程;
3、svchost.exe运行后,会在注册表自启动项HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下创建启动项services,目标指向C:\Documents and Settings\Administrator\Application Data\services\svchost.exe;
4、创建线程,进行套接字通信,联网获取远程主机IP等信息。
5、打开监听端口,监听网络信息,等待远程主机进一步动作,用户电脑成为傀儡;
病毒创建文件:
C:\Documents and Settings\Administrator\Application Data\services\svchost.exe
病毒创建注册表项:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
名称:services
数据:C:\Documents and Settings\Administrator\Application Data\services\svchost.exe