Trojan.Win32.AntiAV.ka(随机名病毒)分析与解决方案

出处：超级巡警时间:2008年09月16日16:51 查看:... 次超级巡警

超级巡警团队监测到恶意程序Trojan.Win32.AntiAV.ka，病毒运行后会释放随机名的病毒文件，删除注册表中安全模式项和自启动项，创建服务，下载病毒和恶意脚本运行。超级巡警团队提醒广大用户及时更新病毒库，对该程序进行有效查杀。

一、病毒相关分析：
       病毒标签：
              病毒名称：Trojan.Win32.AntiAV.ka
              病毒类型：随机名木马
              危害级别：3
              感染平台：Windows
              病毒大小：61,440字节
              SHA1　： 88E0312257FA4109436FEC73FE5A3F64ED9AE90F
              加壳类型：无壳
              开发工具：Microsoft Visual C++

       病毒行为：
              1、病毒运行以后释放副本和其他病毒，病毒文件名随机生成。
                   %SystemRoot%G2VW2M11TC7Q.exe
                   %SystemRoot%LW092.exe
                   %system%8IXJ3XDL6K.exe
              2、删除注册表安全模式相关项，使用户无法进入安全模式。
                   HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}
                   "(Default)"
                   Type: REG_SZ
                   Data: DiskDrive
                   HKEY_LOCAL_MACHINESYSTEMControlSet001ControlSafeBootNetwork{4D36E967-E325-11CE-BFC1-08002BE10318}
                   "(Default)"
                   Type: REG_SZ
                   Data: DiskDrive

                   HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootMinimal{4D36E967-E325-11CE-BFC1-08002BE10318}
                   "(Default)"
                   Type: REG_SZ
                   Data: DiskDrive

                   HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBootNetwork{4D36E967-E325-11CE-BFC1-08002BE10318}
                   "(Default)"
                   Type: REG_SZ
                   Data: DiskDrive
              3、调用命令行删除注册表自启动项，使得自启动项失效。
                   reg.exe delete HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun /F
              4、添加注册表项，创建服务。
                   HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRII7TMW
                   HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDFMSPMMNBC
              5、下载病毒文件并执行。
                   http://www.hh***.cn/killjpg.exe
                   http://www.hh***.cn/makedir.exe
                   http://www.hh***.cn/winrun.exe
              6、下载恶意脚本并执行。
                   http://www.hh***.cn/vip1.htm
                   http://www.ja***.cn/a3.htm

二、解决方案:

推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
超级巡警下载地址：http://www.sucop.com/download/16.html

手工清除方法：
       1、结束病毒进程。打开超级巡警，选择进程管理功能，终止F8YBSPSXC.EXE进程。
       2、删除病毒生成的文件。
            %SystemRoot%G2VW2M11TC7Q.exe
            %SystemRoot%LW092.exe
            %system%8IXJ3XDL6K.exe
       3、删除病毒添加的注册表项
            HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRII7TMW
            HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesDFMSPMMNBC

三、安全建议
       1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
       2、禁用不必要的服务。
       3、不要随便打开不明来历的电子邮件，尤其是邮件附件。
       4、不要随意下载不安全网站的文件并运行。
       5、下载和新拷贝的文件要首先进行查毒。
       6、不要轻易打开即时通讯工具中发来的链接或可执行文件。
       7、使用移动存储介质进行数据访问时，先对其进行病毒检查，建议使用超级巡警U盘免疫器进行免疫。

注： %System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%System，
在WindowsNT/2000/XP/2003/VISTA中该变量指%Windir%System32。其它：
              %SystemDrive%                                                             系统安装的磁盘分区
              %SystemRoot% = %Windir% WINDODWS                     系统目录
              %ProgramFiles%　                                                         应用程序默认安装目录
              %AppData%                                                                   应用程序数据目录
              %CommonProgramFiles%                                              公用文件目录
              %HomePath%                                                                当前活动用户目录
              %Temp% =%Tmp%                                                        当前活动用户临时目录
              %DriveLetter%                                                               逻辑驱动器分区
              %HomeDrive%                                                               当前用户系统所在分区

责任编辑:yzh

current rating
-5
-4
-3
-2
-1
0
1
2
3
4
5

平均:3.8分(20 次)

-5 -4 -3 -2 -1 0 1 2 3 4 5

顶一下

评论本文

↘.吢俚侑亇. 发表于 2008-9-20 09:00
哈哈
游客发表于 2008-9-23 20:26
支持！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！！
游客发表于 2008-9-25 09:01
感谢超级巡警的开发团队，很有益处，深入浅出，言简意赅