Trojan-PSW.Win32.Lineage.abd屬於木馬病毒，以迷惑用戶點擊運行。
基本介紹
- 中文名：Trojan-PSW.Win32.Lineage.abd
- 類型：木馬
- 感染系統：Windows98以上版本
- 公開範圍：完全公開
- 危害等級：中
- 檔案長度：29,239 位元組
基本資料,行為分析,清除方案,
基本資料
病毒名稱： Trojan-PSW.Win32.Lineage.abd
病毒類型： 木馬
檔案 MD5： A619612273858F30FA7F1FD1B9C7CB09
公開範圍： 完全公開
危害等級： 中
檔案長度：29,239 位元組
感染系統： Windows98以上版本
開發工具： Borland Delphi 6.0 - 7.0
加殼類型： NsPacK V3.7
UPX 0.89.6 - 1.02
命名對照：Symentec[無]
Mcafee[無]
病毒描述：
該病毒屬木馬類，病毒圖示為QICQ.exe圖示，病毒運行後，釋放病毒檔案，修改註冊表，修改IE主頁，訪問網路，開啟本地連線埠。該病毒對用戶有一定危害。
行為分析
1、病毒運行後，釋放病毒檔案：
%Program Files%\Common Files\Microsoft Shared\MSINFO\xiaran.dat
病毒名：Trojan.Win32.Delf.rf
2、修改註冊表：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
鍵值: 字串: "Start Page "= "http://www.sky**.cn"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA8C2B95-A7E9-464B-A0A5-FFE9B8A1C030}\
鍵值: 字串: "InProcServer32"="C:\Program Files\Common Files\Microsoft Shared\MSINFO\xiaran.dat"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA8C2B95-A7E9-464B-A0A5-FFE9B8A1C030}\InProcServer32\ThreadingModel
鍵值: 字串: "Apartment"
3、修改IE主頁：
自動修改IE主頁為：http://www.sky**.cn
4、訪問網路，隨機開啟本地1024以上連線埠：
協定：TCP
IP：222.191.251.230
隨機開啟本地1024以上連線埠，如：1095
註：%Program Files%是一個可變路徑。病毒通過查詢作業系統來決定當前Program Files資料夾的位置。Windows作業系統中默認的安裝路徑是C:\ Program Files
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 刪除病毒檔案
%Program Files%\Common Files\Microsoft Shared\MSINFO\xiaran.dat
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\
鍵值: 字串: "Start Page "= "http://www.sky**.cn"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA8C2B95-A7E9-464B-A0A5-FFE9B8A1C030}\
鍵值: 字串: "InProcServer32"="C:\Program Files\Common Files\Microsoft Shared\MSINFO\xiaran.dat"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA8C2B95A7E9-464B-A0A5-FFE9B8A1C030}\InProcServer32\ThreadingModel
鍵值: 字串: "Apartment"
