病毒名称:
Win32.Troj.PcRob.ij
类别: 木马病毒
病毒资料:
该病毒是一个搜索引擎劫持木马。该病毒会在用户使用搜索引擎时强行添加查询参数到用户搜索中,并会跳转到指定的网页。
1、生成的文件
%SystemRoot%\system32\syshost.exe
%SystemRoot%\userinit.exe
%SystemRoot%\taskmgr.exe
%SystemRoot%\system32\cmd.pif
2、修改注册表,添加自启动项
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Userinit" = "%SystemRoot%\userinit.exe,"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"(Default)" = "cmd.pif"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
"load" = "syshost.exe"
3、该病毒在系统中安装了三个类型为WH_MSGFILTER的消息钩子,以收集用户信息,
其申请程序分别是:%SystemRoot%\system32\syshost.exe、%SystemRoot%\taskmgr.exe、原病毒程序
4、该病毒会自动访问网络,将收集到的用户信息发送给211.157.***.71:611的服务器。
5、该病毒会在用户使用搜索引擎时会自动添加一些查询条件,跳转到指定的网址。
在百度搜索引擎里添加&tn=ok961_pg
在Google搜索引擎里添加&forid=1&client=pub-8971877319354686
在sogou搜索引擎里添加&pid=iturn_ok961
在中搜搜索引擎里添加&webid=100bing
在iask.com搜索引擎里添加&pid=40358
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2006-9-10