Trojan-PSW.Win32.Organer.n

該病毒屬於木馬類。病毒運行後在系統盤創建相關檔案，之後修改註冊表檔案，添加到啟動項，達到隨系統啟動目的。在任務管理器中顯示為Wingmt.exe進程。病毒運行的同時進行網路連線。

基本介紹

• 外文名：Trojan-PSW.Win32.Organer.n
• 檔案 MD5：木馬
• 危害等級：中
• 公開範圍：完全公開

病毒標籤

檔案 MD5： DC91EF2457225ACDBAC170A205BF0251

檔案長度：36,864位元組

感染系統： Windows98以上版本

開發工具： Microsoft Visual C++ 6.0

加殼類型： 無

命名對照： Symentec[無]

Mcafee[無]

行為分析

1．病毒運行後複製原病毒副本到：

%System32%\wingmt.exe

2．添加註冊表啟動，達到隨機啟動的目的：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\

鍵值: 字串: "Wingmt"= " C:\WINNT\System32\Wingmt.exe "

HKEY_CURRENT_USER\Software\Microsoft\Windows

\CurrentVersion\Run\Wingmt

鍵值: 字串: "C:\WINNT\System32\Wingmt.exe"

3．病毒運行後進行網路連線：

網路信息

協定：TCP

地址：202.165.100.102

連線埠：80

註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

--------------------------------------------------------------------------------

清除方案

1、使用安天木馬防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天木馬防線“進程管理”關閉病毒進程

(2) 刪除病毒檔案

%WINNT%System32\wingmt.exe

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows

\CurrentVersion\Run\

鍵值: 字串: "Wingmt"= " C:\WINNT\System32\Wingmt.exe "