Trojan-Proxy.Win32.Ranky.fv

病毒类型： 木马

文件 MD5： 9BC2F9E15A4802FE5BE55A0510F2F0E3

公开范围： 完全公开

危害等级： 中

文件长度： 25,185 字节

感染系统： windows98以上版本

加壳类型： FSG 2.0

命名对照：Symentec[]

Mcafee[]

病毒描述：

该病毒属木马类，病毒运行后释放病毒文件%windir%/NT/nrcs.exe，删除注册表所有启动项，修改注册表，添加启动项，以达到随机启动的目的。还原系统隐藏属性，随进程userinit.exe和Explorer.exe启动。

行为分析：

1、病毒运行后释放病毒文件：

%windir%/NT/nrcs.exe

2、删除注册表中所有启动项：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

下的键值全部删除

3、修改注册表项，随进程userinit.exe和Explorer.exe启动：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersion Winlogon

新建键值: 字串: " Shell "="Explorer.exe C:WINDOWSNT

rcs.exe"

原键值: 字符串: " Shell "="Explorer.exe"

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon

新建键值: 字串: "Userinit"="C:WINDOWSsystem32userinit.exe,C:WINDOWSNT

rcs.exe"

原键值: 字串: "Userinit"="C:WINDOWSsystem32userinit.exe,"

4、新建注册表，添加启动项，以达到随机启动的目的：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows

CurrentVersionRunMicrosoft (R) Windows Vista

键值: 字串: "NT Runtime Compatibility Service "="C:WINDOWSNT

rcs.exe"

HKEY_LOCAL_MACHINESOFTWARE

键值: 字串: Tmp"="LegacyDriver"

HKEY_LOCAL_MACHINESYSTEMControlSet001Enum

RootLEGACY_NTRCS000Control

键值: 字串: "ActiveService"="ntrcs"

HKEY_LOCAL_MACHINESYSTEMControlSet001Enum

RootLEGACY_NTRCS000

键值: 字串: "DeviceDesc "="Windows Vista/NT

Runtime Compatibility Service"

HKEY_LOCAL_MACHINESYSTEMControlSet001Enum

RootLEGACY_NTRCS000

键值: 字串: "Service "="ntrcs"

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

trcs

键值: 字串: "ImagePath "="C:WINDOWSNT

rcs.exe. "

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

trcs

键值: 字串: "ObjectName "="LocalSystem"

HKEY_LOCAL_MACHINESYSTEMControlSet001Services

SharedAccessParametersFirewallPolicyStandardProfile

AuthorizedApplicationsList

键值: 字串: "C:WINDOWSNT

rcs.exe "="C:WINDOWSNT

rcs.exe:*:Enabled:Microsoft (R) Windows Vista/NT Runtime

Compatibility Service"

HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccess

ParametersFirewallPolicyStandardProfile

AuthorizedApplicationsList

键值: 字串: "C:WINDOWSNT

rcs.exe "="C:WINDOWSNT

rcs.exe:*:Enabled:Microsoft (R) Windows Vista/NT Runtime

Compatibility Service"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetEnumRoot

LEGACY_NTRCS000Control

键值: 字串: "ActiveService "="ntrcs"

5、还原系统隐藏属性

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。