pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
|
2008-3-7 17:59 |
|
pioneer
超级版主
积分 4563
发帖 4545
注册 2007-7-16
来自 BJ
|
#2
技术细节
Autorun.inf内容为：
[AutoRun]
open=.exe
shell\open=打开(&O)
shell\open\Command=.exe
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=.exe
病毒删除的注册表项：
项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值：AVP
指向文件：“********\avp.exe” (“********”表示卡巴斯基安装路径)
项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\SHOWALL
键值：CheckedValue
数值： dword:00000001
项：HKLM\ SYSTEM\ControlSet001\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
项：HKLM\SYSTEM\ControlSet001\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
项：HKLM\ SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\{4D36E967-E325-11CE-BFC1-08002BE10318}
项：HKLM\ SYSTEM\CurrentControlSet\Control\SafeBoot\Network\{4D36E967-E325-11CE-BFC1-08002BE10318}
病毒添加的注册表项：
项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值：aqetfjk
指向文件：“C:\Program Files\Common Files\System\fkfhrra.exe”
项：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值：yattsgm
指向文件： “C:\Program Files\Common Files\Microsoft Shared\bydxsqj.exe”
映象截持的文件：
pfw.exe,FYFireWall.exe,rfwsrv.exe,rfwmain.exe,KAVPF.exe,nod32kui.exe,KPFW32.exe,nod32.exe,Navapsvc.exe,Navapw32.exe,avconsol.exe,webscanx.exe,NPFMntor.exe,vsstat.exe,zjb.exe,KPfwSvc.exe,RavTask.exe,Rav.exe,RavMon.exe,mmsk.exe,WoptiClean.exe,QQKav.exe,QQDoctor.exe,EGHOST.exe,360Safe.exe,iparmo.exe,adam.exe,IceSword.exe,360rpt.exe,360tray.exe,AgentSvr.exe,AppSvc32.exe,autoruns.exe,avgrssvc.exe,AvMonitor.exe,CCenter.exe,ccSvcHst.exe,FileDsty.exe,FTCleanerShell.exe,HijackThis.exe,Iparmor.exe,isPwdSvc.exe,kabaload.exe,KASMain.exe,KASTask.exe,KAV32.exe,KAVDX.exe,KAVPFW.exe,KAVSetup.exe,KAVStart.exe,KISLnchr.exe,KMailMon.exe,KMFilter.exe,KPFW32X.exe,KRegEx.exe,KsLoader.exe,KvDetect.exe,KvfwMcl.exe,kvol.exe,kvolself.exe,KVSrvXP.exe,kvupload.exe,kvwsc.exe,KWatch.exe,KWatch9x.exe,KWatchX.exe,loaddll.exe,MagicSet.exe,mcconsol.exe,mmqczj.exe,nod32krn.exe,PFWLiveUpdate.exe,QHSET.exe,RavMonD.exe,RavStub.exe,RegClean.exe,rfwcfg.exe,RsAgent.exe,Rsaupd.exe,safelive.exe,irsetup.exe,scan32.exe,shcfg32.exe,SmartUp.exe,SREng.EXE,symlcsvc.exe,SysSafe.exe,TrojanDetector.exe,Trojanwall.exe,UIHost.exe,UmxAgent.exe,UmxAttachment.exe,UmxCfg.exe,UmxFwHlp.exe,UmxPol.exe,UpLive.exe,upiea.exe,AST.exe,ArSwp.exe,USBCleaner.exe,rstrui.exe,QQSC.exe,ghost.exe,AvastU3.exe等文件。
被修改文件名称的文件（文件名被修改为cngu*,其中*为小于100的正数）：
svchost.exe,niu.exe,sbl.dll,wniapsvr.exe,shell.exe,shell.pci,csrss.exe,chost.exe,dream.exe,tasks.exe,forget.dll,systom.exe,ctfm0n.exe,native.exe,directx.exe,progmon.exe,internt.exe,SoftDll.exe,MySetup.exe,SocksA.exe,algssl.exe,plmmsbl.dll,servver.exe,chostbl.exe,lovesbl.dll,,netdde.exe,svrhostg.dll,wnipsvr.exe,Session.exe,algsrvs.exe,msfun80.exe,msime82.exe,msime80.exemsfir80.exe,fixfile.exe,MicrSoft.exe,WMDSINFO.dll,Mcshie1d.exe,Exp1orer.exe,snowfall.exe,compobj32.dll,snownClean.exe等文件。
下载木马病毒的地址：
http://www.******.com/ReadDown.txt
http://www.******.com/TDown1.exe
| |
※文章所有权归【pioneer】与【东方微点论坛】共同所有，转载请注明出处！※
|
 |
|
|
2008-3-7 18:00 |
|
|
