文件名称：710a.exe

文件大小：126976 bytes

AV命名：Trojan.Win32.Agent.kmx(卡巴斯基)

加壳方式：Upx

编写语言：Microsoft Visual C++ 7.0

文件MD5：9e37f5b3d3c55f267a9e9266e4695efa

行为分析：

1、首先释放一个6.tmp于％Windir％，启动参数为 /s

2、连接219.148.34.*下载广告程序，部分文件：

    (文件夹) C:\WINDOWS

       (+)(文件) 6771.exe, 53248 字节

       (+)(文件) 761.bmp, 860160 字节

       (+)(文件) 77f01.txt, 122880 字节

    (文件夹) C:\WINDOWS\system32

       (+)(文件) 3eb, 68 字节

       (+)(文件) 44191.exe, 122880 字节

       (+)(文件) 5441.dll, 53248 字节

(+)(文件) c51.dll, 860160 字节

3、添加启动项：

Registry Group: Machine AutoRun

Object:

   Registry key: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run

   Registry value: c51

      Type: REG_SZ

Value: rundll32 C:\windows\system32\c51.dll,Always

4、下载的广告程序会在后台开启网络线程刷流量。

解决方法：

1、下载SREng(可到down.45it.com下载)，重启计算机，按F8进安全模式。

2、用SREng删除启动项：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run

 (注册表值) c51 = REG_SZ, "rundll32 C:\windows\system32\c51.dll,Always"

3、删除文件，如果有：

   (文件夹) C:\WINDOWS

       (+)(文件) 6771.exe, 53248 字节

       (+)(文件) 761.bmp, 860160 字节

(+)(文件) 77f01.txt, 122880 字节

    (文件夹) C:\WINDOWS\system32

       (+)(文件) 3eb, 68 字节

       (+)(文件) 44191.exe, 122880 字节

       (+)(文件) 5441.dll, 53248 字节

(+)(文件) c51.dll, 860160 字节