文件名称：oqtxde.chm

文件大小：58,368 bytes

AV命名：Trojan-Clicker.Win32.Costrat.es

加壳方式：未

文件MD5：DF5EC5ED3C24C790D82CB1CCE5568074

病毒类型：后门

行为分析：

1、释放文件：

c:\Windows\Help\oqtxde.chm  58,368 bytes

2、注册系统服务，开机启动：

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oqtxde\Security]

Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oqtxde]

Type = 0x00000001

Start = 0x00000001

ErrorControl = 0x00000000

ImagePath = "%Windir%\Help\oqtxde.chm"

ExtParamD = 55 FB A9 96 99 32 11 3E 00 00

3、修改Services.exe内存，并把自己代码注入。

4、连接208.**.169.1，可能会下载其他木马或被利用为跳板。

解决方法：

1、重启计算机，按F8进入安全模式。

2、删除文件：c:\Windows\Help\oqtxde.chm 

注意这个名字可能不固定。不过生成日期比较靠后，是58,368字节

3、打开注册表，删除该启动项：oqtxde