3874jr98.exe_在线百科全书查询
3874jr98.exe
病毒症状
该样本是使用“C语言”编写的木马下载者，长度为18,959字节，采用UPX加壳，“ exe”扩展名，通过网页木马、下载器下载、等方式进行传播。 用户中毒后，会出现计算机及网络运行缓慢，异常网络访问、出现大量未知进程等现象。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista
传播途径
网页挂马、文件捆绑、下载器下载
病毒分析
1.病毒运行后首先检查自己路径是否为"%SystemRoot%\\system32\\svchost.exe"，如果不是再次检查是否为"%SystemRoot%\\system32\\3874jr98.exe"。
2.不是则拷贝自己为3874jr98.exe，调用CreateProcessInternalA执行此文件，如果失败，再次调用ShellExecuteA执行此文件，调用命令行自我删除。
3.释放驱动文件PCIdump.sys，创建服务，通过向名称为"\\\\.\\fuck1986"的设备发送控制码，恢复SSDT，使杀毒软件失效。
4.当3874jr98.exe执行后，创建名称为0983240923je9832的服务，并启动，然后退出当前进程。
5.服务启动后，创建互斥量，注入svchost.exe，创建线程，连接网络，下载病毒到本地保存为%SystemDriver%\\long.exe
病毒创建文件：
%SystemRoot%\\system32\\3874jr98.exe
%SystemRoot%\\system32\\drivers\\pcidump.sys
%SystemDriver%\\long.exe
病毒创建注册表：
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\93jr9j329r30942
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\pcidump
解决办法
1、手动删除以下文件(如遇提示无法删除文件，下载费尔木马强制删除器工具进行强制删除)：
%SystemRoot%\\system32\\3874jr98.exe
%SystemRoot%\\system32\\drivers\\pcidump.sys
%SystemDriver%\\long.exe
2、手动删除以下注册表(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)：
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\93jr9j329r30942
HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\pcidump
变量声明
%SystemDriver% 系统所在分区，通常为“C:\\”
%SystemRoot% WINDODWS所在目录，通常为“C:\\Windows”
%Documents and Settings% 用户文档目录，通常为“C:\\Documents and Settings”
%Temp% 临时文件夹，通常为“C:\\Documents and Settings\\当前用户名称\\Local Settings\\Temp”
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\\ProgramFiles”
