病毒名称(中文):
信使代理服务器
病毒别名:
TrojanProxy.Ranky.aj[AVP]
威胁级别:
★★☆☆☆
病毒类型:
木马程序
病毒长度:
25600
影响系统:
Win9xWinNT
病毒行为:
这是一个把感染者的系统变为代理服务器的木马病毒。该病毒修改注册表，将自己加入到启动项目，启动项目名字类似与MSN的启动项名字，企图迷惑用户，达到每次开机都运行它自己的目的。然后它开始随机的TCP端口等待外界的连接，并且将系统信息发送的预定的网址，供攻击者使用，至此用户机器已经变成免费的代理服务器。它消耗用户的系统资源，导致系统运行变慢。攻击者还可以发来某些特定的命令，上传下载图片文件，并且支持某些加密文件。
1.创建互斥变量"vdmvdm"以防止多个实例运行。
2.将自己复制为%System32%\msgsv32.exe
3.在注册表中添加启动项：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"Messenger"="C:\WINNT\System32\msgsv32.exe"
4.支持的图片类型为：gif,bitmap,jpeg,pjpeg,png等，支持gzip加密文件。
5.连接的网址：
"http://***/x.php?a="
"http://***/y.php?a="
"http://***/t.php?a="
"http://***/t.php?a="
"http://***/t.php?a="
"http://***/t.php?a="