Worm.Downloader.cr.34304

基本信息

Worm.Downloader.cr.34304（類AV終結者）分析

病毒全名 Worm.Downloader.cr.34304

而且病毒會通過映像劫持的方法，使得各安全軟體無法使用。纂改檔案隱藏功能。修改了瀏覽器主頁，在打開瀏覽器時會自行下

載病毒，並且彈出廣告等行為。

關鍵字：蠕蟲,auto病毒,映像劫持,修改主頁,纂改功能

1.病毒運行後，產生以下病毒檔案

%local settings%\temporary Internet Files\Content.IE5\EC5UKR17\tj[1].htm

%local settings%\temporary Internet Files\Content.IE5\GR8I0NOH\down[1].txt

%local settings%\temporary Internet Files\Content.IE5\YF9D3U1Z\tempA[1].exe

%Program Files%\Internet Explorer\PLUGINS\SysWin64.Jmp

%Program Files%\Internet Explorer\PLUGINS\WinSys64.Sys

在%windows%\Fonts下添加許多後綴為"fon"的檔案

在%windows%\system32下添加許多後綴為"dll"和"exe"的病毒檔案

在%temp%目錄下同樣產生病毒檔案

2.在各盤目錄下，會生成AUTO病毒，分別是niu.exe和autorun.inf。其中，autorun.inf所指向的病毒是niu.exe，當用戶左鍵雙擊

進入該盤時，病毒隨之觸發。

3.病毒運行後，任務管理器被禁止不可使用(如圖)。

4.病毒運行後，隱藏檔案的功能被纂改,並且把文字內容也修改。(如圖)

那句話的全部是“禽獸尚且有半點憐憫之心，而我一點沒有，所以我不是禽獸。”

5.病毒利用映像劫持的技術，使眾多安全軟體不可使用,只要以下有列出來的檔案名稱,當病毒監測到時,就會自行關閉。看看，還有

哪個病毒劫持的安全軟體比它多。(如圖)

6.病毒把主頁修改為www.baidu.com

7.會監視視窗，當在瀏覽器輸入與"安全"或"病毒"相關的網站，病毒會把瀏覽器立即關閉。

8.打開瀏覽器會彈廣告。

9.病毒會從以下地址下載更多木馬

http://w.******.com/tempA.exe

http://w.******.com/tempB.exe

http://w.******.com/tempC.exe

http://w.******.com/tempD.exe

http://w.******.com/tempE.exe

http://w.******.com/tempF.exe