病毒描述: 该病毒属木马类,病毒运行后释放病毒文件%system32%\kb8964225.log,修改注册表,开启Network Logon服务,使病毒作者可以对用户进行远程控制,释放的病毒文件kb8964225.log可以盗用户的敏感信息。 行为分析: 1、病毒运行后释放病毒文件: 病毒路径\名 病毒名 %system32%\kb8964225.log Trojan-PSW.Win32.Delf.lf kb8964225.log实际上是一个DLL文件,该文件病毒名为Trojan-PSW.Win32.Delf.lf。可以盗用户的敏感信息。 2、病毒运行后修改注册表项: HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services 键值: 字串: "NetWorkLogon "="支持网络上计算机远程登陆事件。如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何依赖它的服务将无法启动。" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: "DisplayName "="Network Logon" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: " ImagePath "="undll32.exe KB8964225.log,start" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\NetWorkLogon\ 键值: 字串: " ObjectName " ="LocalSystem" 3、开启NetworkLogon服务,使病毒作者可以对用户进行远程控制: NetWorkLogon 服务:支持网络上计算机远程登陆事件。如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何依赖它的服务将无法启动。 注: % System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32,windows95/98/me中默认的安装路径是C:\Windows\System,windowsXP中默认的安装路径是C:\Windows\System32。 清除方案: 2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。 (1) 使用安天木马防线“进程管理”关闭病毒进程 (2) 删除病毒文件 %system32%\kb8964225.log (3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项 HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services 键值: 字串: "NetWorkLogon "="支持网络上计算机远程登陆事件。 如果此服务被停用,网络登陆将不可用。如果此服务被禁用,任何 依赖它的服务将无法启动。" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: "DisplayName "="Network Logon" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: " ImagePath "="undll32.exe KB8964225.log,start" HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services \NetWorkLogon\ 键值: 字串: " ObjectName " ="LocalSystem"//本文来自电脑软硬件应用网www.45its.com转载请注明 |