档案编号:CISRT2007008 病毒名称:N/A(Kaspersky) 病毒别名:Trojan.PSW.JHOnline.faa(瑞星) 病毒大小:52,224 字节 加壳方式:PE_Patch.PECompact PecBundle PECompact 样本MD5:3e003361f23df2be3428dd57ca81b229 样本SHA1:469f63770ff064435098308894d99b4785e2dbf7 发现时间:2007.1 更新时间:2007.1 关联病毒: 传播方式:恶意网页、其它病毒下载 技术分析 ========== 运行后释放xpdhcp.dll到系统目录: %System%\xpdhcp.dll 注入Explorer.exe进程,创建服务: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinXPDHCPsvc] 显示名:WinXP DHCP Service 描述:为远程计算机注册并更新 IP 地址。 可执行文件的路径:%System%\rundll32.exe xpdhcp.dll,start 清除步骤 ========== 1. 删除服务项: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinXPDHCPsvcc] 2. 重新启动计算机 3. 删除文件: %System%\xpdhcp.dll |