病毒症状
该样本是使用“Borland Delphi”编写的“蠕虫病毒”，采用“WinUpack”加壳方式试图躲避特征码扫描,加壳后长度为20,000字节，使用“ exe”扩展名，通过网页木马、下载器下载、移动介质(如U盘)等方式进行传播。
用户中毒后，会出现计算机及网络运行缓慢，出现隐藏启动的iexplorer.exe进程等现象。
感染对象
Windows 2000/Windows XP/Windows 2003/Windows Vista
传播途径
网页挂马、文件捆绑、下载器下载
病毒分析
1、病毒运行后首先检查自己的的参数是否为sleepDown或update。
2、如果都不是，检查自己的扩展名是否为.exe或com。设置自己为"SeDebugPrivilege"权限。
3、检查internat.exe和internat.exe.tmp是否存在，如果存在就删除。
4、拷贝自己为internat.exe，设置为系统、隐藏属性，以sleepDown为参数调用internat.exe。
5、以sleepDown为参数运行后，每隔60s，遍历盘符，创建autorun.inf和setup.exe，setup.exe为病毒自身的拷贝，遍历非系统盘，获取其中的exe文件，将其路径保存为win.log，根据win.log的记录对exe文件进行感染。
6、以update为参数运行后，以隐藏方式打开iexplorer.exe，访问网络。
7、创建批处理，退出进程，自我删除。
病毒创建文件：
%SystemRoot%\system\internat.exe
%SystemRoot%\system\system32.vxd
%SystemRoot%\system32\win.log
X:\ setup.exe
X:\ AutoRun.inf
X为任意盘符。
病毒删除文件：
%SystemRoot%\system32\win.log
病毒访问网络：
http://tj.****.com
手动解决办法：
手动删除以下文件：
%SystemRoot%\system\internat.exe
%SystemRoot%\system\system32.vxd
X:\ AutoRun.inf
X:\ setup.exe
X为任意盘符。
变量声明：
%SystemDriver% 系统所在分区，通常为“C:\”
%SystemRoot% WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings% 用户文档目录，通常为“C:\Documents and Settings”
%Temp% 临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\ProgramFiles”
相关视频
相关阅读 阿瑞斯病毒怎么去村庄阿瑞斯病毒老军人在在哪里 老军人位置分享阿瑞斯病毒山寨钥匙A怎么获得 山寨钥匙A获取方式一览阿瑞斯病毒研究所怎么快速过关 0肝快速通关技巧详解阿瑞斯病毒穴居狼蛛怎么打 穴居狼蛛打法教程分享阿瑞斯病毒白糖怎么得阿瑞斯病毒石头怎么得阿瑞斯病毒叛军营地怎么打
热门文章 没有查询到任何记录。
最新文章
防止DdoS攻击：通过路
解析卡巴斯基特色之漏
网站被sql注入的修复方法Ubuntu破解Windows和防护的三种方法防黑客qq改密码技巧如何保证Foxmail泄露邮箱密码安全
人气排行 路由器被劫持怎么办？路由器DNS被黑客篡改怎防止DdoS攻击：通过路由器绕过DDoS防御攻击如何彻底清除电脑病毒？如何使用无忧隐藏无线路由防蹭网办法车模兽兽激情视频下载暗藏木马使用四款防黑客软件的体会怎么防止木马入侵
查看所有0条评论>>