Win32.Agent.sd
Win32.Agent.sd
病毒别名: 处理时间:2007-04-06 威胁级别:★
中文名称: 病毒类型:Win32病毒 影响系统:Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个后门程序。该病毒将一正常文件放在资源节中,运行时会释放并运行正常文件,以欺骗用户达到隐藏自身的目的。
1、生成的文件
%Program Files%\\Internet Explorer\\Update.exe(原病毒文件拷贝)
%WINDOWS%\\flash.exe(该病毒释放的非病毒可执行文件)
2、添加启动伪系统服务
HKLM\\System\\CurrentControlSet\\Services\\DNS Servers
"Type" = "0x110"
HKLM\\System\\CurrentControlSet\\Services\\DNS Servers
"Start" = "0x2"
HKLM\\System\\CurrentControlSet\\Services\\DNS Servers
"ImagePath" = "%Program Files%\\Internet Explorer\\Update.exe"
HKLM\\System\\CurrentControlSet\\Services\\DNS Servers
"Description" = "为本地连接internet 记录日志或更新Microsoft 相关程序服务"
3、添加TypeLib组件
HKCR\\TypeLib\\{EF4F0A45-63FA-4544-880B-58B5305EB6FB}\\1.0
"(Default)" = "GUISer 1.0 Type Library"
HKCR\\TypeLib\\{EF4F0A45-63FA-4544-880B-58B5305EB6FB}\\1.0\\0\\win32
"(Default)" = "%Program Files%\\Internet Explorer\\Update.exe"
4、会下载并执行其他病毒。
http://www.zuyu.net/iis/iis.***
5、添加注册表感染信息
HKLM\\Software\\Microsoft\\Windows\\CurrentVersion
"Internet Explorer update" = "WINDOWS"
HKLM\\Software\\Microsoft\\Windows
"YYYY" = "update"
6、将Macromedia Flash Player 8.0 r22正常文件放在类型为exe的资源中。
运行该病毒会打开Macromedia Flash Player 8.0程序