×

新导航介绍,点击查看

时间机器下载器65697

发表日期:2008-05-11 摄影器材: 点击数: 投票数:
病毒类型:
木马下载器
影响系统:
Win9x WinMe WinNT Win2000 WinXP Win2003
病毒行为:

这是一个木马下载器。该程序主要通过网页木马、文件捆绑方式传播,它会修改系统时间,使得杀毒软件卡巴斯基无法正常运行。

1.程序运行后,生成文件
C:WINDOWSWINSvr32.exE
C:WINDOWSsystem32WINSvr32.dll

2.注册表添加启动项:
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
WINSvr32 'C:WINDOWSWINSvr32.exE'

3.病毒会首先查找互斥事件“EFIOPYKLX”,然后遍历进程,搜索explorer.exe进程。

找到explorer.exe进程后,将病毒代码注入目标进程。在内存中病毒写入了下载地址“http://www.X**X.com/khhm.exe“

以及提前获取的函数地址和信息:注入完成后,病毒通过调用CreateRemoteThread启动注入的代码,在注入的远程代码中,

病毒装载urlmon.dll,然后获取和调用URLDownloadToFileA函数,下载“http://www.j***sh.com/khhm.exe”为本地,然后

调用CreateProcessA启动下载的文件。“http://www.j***sh.com/khhm.exe”这个地址现已无效,推断应该也是一个病毒文件。

4.遍历进程检测当前进程中是否存在AVP.exe,若存在则修改当前系统时间,使其不能正常运行。

关键词:木马

作者:豺狼DDOS攻击

《时间机器下载器65697》


下一篇:没有了

最 新:
没有其它新的作品了

更多豺狼DDOS攻击的POCO作品...

评论