該病毒運行後,添加註冊表自動運行項與服務項,衍生病毒檔案到系統目錄下。
病毒的主要行為為關閉對病毒不利的安全程式,並連線遠程地址下載病毒體。
基本介紹
- 中文名:露珠
- 外文名:Trojan-Downloader.Win32.Small.ewy
- 病毒類型:木馬
- 公開範圍: 完全公開
- 危害等級: 中等
病毒標籤,行為分析,清除方案,
病毒標籤
病毒名稱: Trojan-Downloader.Win32.Small.ewy
中文名稱:
檔案 MD5: A120521DB73BBF1D0A8BDFB90E2D758B
感染系統: Win9X以上系統
開發工具: Microsoft Visual C++ 6.0
加殼工具: FSG 2.0 -> bart/xt
行為分析
1 、衍生下列副本與檔案:
%System32%\progmon.exe
%System32%\internt.exe
%System32%\IME\svchost.exe
2 、新建註冊表鍵值:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Internt
Value: String: "%WINDIR%System32\internt.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Program file
RunServices\msvcc25
Value: String: "%WINDIR%System32\progmon.exe"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Alerter COM+\DisplayName
Value: String: "Alerter COM+"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Alerter COM+\ImagePath
Value: Type: REG_EXPAND_SZ Length: 36 (0x24) bytes
%WINDIR%System32\IME\svchost.exe.
3 、修改下列註冊表項:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
New: DWORD: 0 (0)
Old: DWORD: 1 (0x1)
4 、 連線遠程地址:
60.190.114.*** 80
5 、匹配下列視窗標題,如有則關閉視窗:
Windows 任務管理器
安全衛士
Virus
病毒
firewall
Process
anti
木馬
最佳化
查殺
down
卡巴
專殺
掃描
6 、病毒試圖通過自身攜帶的用戶名與弱口令列表通過網路傳播。
7 、病毒會在移動存儲設備中生成自動運行檔案,以傳播自身。
註: %System% 是一個可變路徑。病毒通過查詢作業系統來決定當前 System 資料夾的位置。 Windows2000/NT 中默認的安裝路徑是 C:\Winnt\System32 , windows95/98/me 中默認的
安裝路徑是 C:\Windows\System , windowsXP 中默認的安裝路徑是 C:\Windows\System32 。
清除方案
1 、 使用安天木馬防線可徹底清除此病毒 ( 推薦 )
2 、 手工清除請按照行為分析刪除對應檔案,恢復相關係統設定。
(1) 使用安天木馬防線關閉下列進程:
%System32%\IME\svchost.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\Advanced\
Folder\Hidden\SHOWALL\CheckedValue
New: DWORD: 0 (0)
Old: DWORD: 1 (0x1)
(3) 刪除病毒釋放檔案:
%System32%\progmon.exe
%System32%\internt.exe
%System32%\IME\svchost.exe