当前位置: 电脑软硬件应用网 > 电脑学院 > 网络安全 > 正文 |
|
|||
Trojan.Win32.Agent.kmx(710a.exe)密码病毒的查杀 | |||
2008-4-28 10:10:24 文/孤独更可… 出处:网友博客 | |||
文件名称:710a.exe
文件大小:126976 bytes
AV命名:Trojan.Win32.Agent.kmx(卡巴斯基)
加壳方式:Upx
编写语言:Microsoft Visual C++ 7.0
文件MD5:9e37f5b3d3c55f267a9e9266e4695efa
行为分析:
1、首先释放一个6.tmp于%Windir%,启动参数为 /s
2、连接219.148.34.*下载广告程序,部分文件:
(文件夹) C:\WINDOWS (+)(文件) 6771.exe, 53248 字节 (+)(文件) 761.bmp, 860160 字节 (+)(文件) 77f01.txt, 122880 字节 (文件夹) C:\WINDOWS\system32 (+)(文件) 3eb, 68 字节 (+)(文件) 44191.exe, 122880 字节 (+)(文件) 5441.dll, 53248 字节 (+)(文件) c51.dll, 860160 字节
3、添加启动项:
Registry Group: Machine AutoRun Object: Registry key: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run Registry value: c51 Type: REG_SZ Value: rundll32 C:\windows\system32\c51.dll,Always
4、下载的广告程序会在后台开启网络线程刷流量。
解决方法:
1、下载SREng(可到down.45its.com下载),重启计算机,按F8进安全模式。 2、用SREng删除启动项:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run (注册表值) c51 = REG_SZ, "rundll32 C:\windows\system32\c51.dll,Always"
3、删除文件,如果有:
(文件夹) C:\WINDOWS (+)(文件) 6771.exe, 53248 字节 (+)(文件) 761.bmp, 860160 字节 (+)(文件) 77f01.txt, 122880 字节
(文件夹) C:\WINDOWS\system32 (+)(文件) 3eb, 68 字节 (+)(文件) 44191.exe, 122880 字节 (+)(文件) 5441.dll, 53248 字节 (+)(文件) c51.dll, 860160 字节 |
|||
关于45IT | About 45IT | 联系方式 | 版权声明 | 网站导航 | |
Copyright © 2003-2011 45IT. All Rights Reserved 浙ICP备09049068号 |