病毒症状

该样本是使用“C语言”编写的木马下载者，长度为18,959字节，采用UPX加壳，“ exe”扩展名，通过网页木马、下载器下载、等方式进行传播。 用户中毒后，会出现计算机及网络运行缓慢，异常网络访问、出现大量未知进程等现象。

感染对象

Windows 2000/Windows XP/Windows 2003/Windows Vista

传播途径

网页挂马、文件捆绑、下载器下载

病毒分析

1.病毒运行后首先检查自己路径是否为"%SystemRoot%\system32\svchost.exe"，如果不是再次检查是否为"%SystemRoot%\system32\3874jr98.exe"。
2.不是则拷贝自己为3874jr98.exe，调用CreateProcessInternalA执行此文件，如果失败，再次调用ShellExecuteA执行此文件，调用命令行自我删除。
3.释放驱动文件PCIdump.sys，创建服务，通过向名称为"\\.\fuck1986"的设备发送控制码，恢复SSDT，使杀毒软件失效。
4.当3874jr98.exe执行后，创建名称为0983240923je9832的服务，并启动，然后退出当前进程。
5.服务启动后，创建互斥量，注入svchost.exe，创建线程，连接网络，下载病毒到本地保存为%SystemDriver%\long.exe

病毒创建文件：

%SystemRoot%\system32\3874jr98.exe
%SystemRoot%\system32\drivers\pcidump.sys
%SystemDriver%\long.exe

病毒创建注册表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\93jr9j329r30942
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pcidump

手动解决办法：

1、手动删除以下文件(如遇提示无法删除文件，到https://www.45its.com.cn/down.htm下载费尔木马强制删除器工具进行强制删除)：

%SystemRoot%\system32\3874jr98.exe
%SystemRoot%\system32\drivers\pcidump.sys
%SystemDriver%\long.exe

2、手动删除以下注册表(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\93jr9j329r30942
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\pcidump

变量声明：

　　%SystemDriver%　　　　　　　系统所在分区，通常为“C:\”
　　%SystemRoot%　　　　　　　　WINDODWS所在目录，通常为“C:\Windows”
　　%Documents and Settings%　　用户文档目录，通常为“C:\Documents and Settings”
　　%Temp%　　　　　　　　　　　临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
　　%ProgramFiles%　　　　　　　系统程序默认安装目录，通常为：“C:\ProgramFiles”