文件名称：yayyAsPJ.dll

文件大小：33,792 bytes

AV命名：TROJ_VUNDO.EJZ

加壳方式：UPX

文件MD5：AC58E584C8B8BCC90EA3B031BB625853

病毒类型：广告程序

主要行为：

1、释放文件：

C:\Windows\System32\yayyAsPJ.dll 25,600 bytes

2、添加注册表：

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{13F20E4F-F379-41EA-8F80-CCAAE787362A}\InprocServer32]

(Default) = "%System%\yayyAsPJ.dll"

ThreadingModel = "Both"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\Settings]

Time = F0 71 A3 1F 83 51 C8 01 00 00 00 00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]

{13F20E4F-F379-41EA-8F80-CCAAE787362A} = ""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\yayyAsPJ]

Asynchronous = 0x00000001

DllName = "yayyAsPJ.dll"

Impersonate = 0x00000000

Logon = "o"

Logoff = "f"

开机注入Explorer.exe和Winlogon.exe启动。

3、开启网络线程在后台刷网页流量。

4、yayyAsPJ.dll安装全局钩子，监视鼠标操作。

5、最后释放批处理removalfile.bat，删除原来的载体

解决方法：

1、删除启动项：

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{13F20E4F-F379-41EA-8F80-CCAAE787362A}\InprocServer32]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\yayyAsPJ]

2、删除文件：

C:\Windows\System32\yayyAsPJ.dll 25,600 bytes

3、升级杀毒软件，全盘扫描，并清空临时文件夹。