当前位置: 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
Trojan-Downloader.Win32.Agent.arq解决方法 | |||
2006-9-2 8:16:23 文/佚名 出处:电脑软硬件应用网 | |||
病毒描述: 该病毒属木马类,病毒运行后释放病毒文件%system32%\kb8964225.log,修改注册表,开启Network Logon服务,使病毒作者可以对用户进行远程控制,释放的病毒文件kb8964225.log可以盗用户的敏感信息。 行为分析: 1、病毒运行后释放病毒文件: 病毒路径\名 病毒名 %system32%\kb8964225.log Trojan-PSW.Win32.Delf.lf kb8964225.log实际上是一个DLL文件,该文件病毒名为Trojan-PSW.Win32.Delf.lf。可以盗用户的敏感信息。 2、病毒运行后修改注册表项: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services 键值: 字串: "NetWorkLogon "="支持网络上计算机远程登陆事件。如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何依赖它的服务将无法启动。" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: "DisplayName "="Network Logon" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: " ImagePath "="undll32.exe KB8964225.log,start" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: " ObjectName " ="LocalSystem" 3、开启NetworkLogon服务,使病毒作者可以对用户进行远程控制: NetWorkLogon 服务:支持网络上计算机远程登陆事件。如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何依赖它的服务将无法启动。 注: % System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32,windows95/98/me中默认的安装路径是C:\Windows\System,windowsXP中默认的安装路径是C:\Windows\System32。 清除方案: 2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。 (1) 使用安天木马防线“进程管理”关闭病毒进程 (2) 删除病毒文件 %system32%\kb8964225.log (3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services 键值: 字串: "NetWorkLogon "="支持网络上计算机远程登陆事件。 如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何 依赖它的服务将无法启动。" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: "DisplayName "="Network Logon" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: " ImagePath "="undll32.exe KB8964225.log,start" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: " ObjectName " ="LocalSystem"//本文来自电脑软硬件应用网www.45its.com转载请注明 |
|||
关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |