病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
蠕虫病毒
病毒长度:
708096
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个感染型病毒。会感染可执行文件和脚本文件。
1、生成的文件
%DOCUME~1%\ADMINI~1\LOCALS~1\Temp\BLACKSEEDER1.1
%SystemRoot%\DownloadedProgramFiles\0005486A.exe
%SystemRoot%\DownloadedProgramFiles\0005486A.DAT
2、添加启动项
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"MSLOGON"="C:\WINNT\DownloadedProgramFiles\0005486A.exe"
3、在个盘下生成autorun.inf启动，并设置文件属性为隐藏。
%X:%\0005486A.exe
%X:%\autorun.inf
4、感染脚本，在脚本末添加
%iframesrc=http://www.wangzheqiaodan.com/girl/picture.***width=0height=0%%/iframe%
5、感染可执行文件，修改原文件入口，在原文件加名为BSDR1.1的节。
6、不断的读软区，发现没软盘会不断的弹没软盘的错误提示。
7、结束下列进程
mcshield.exe
vstskmgr.exe
naprdmgr.exe
aterui.exe
tbmon.exe
scan32.exe
ravmond.exe
ccenter.exe
ravtask.exe
rav.exe
ravmon.exe
ravmond.exe
ravstub.exe
kvxp.kxp
kvmonxp.kxp
kvcenter.kxp
kvsrvxp.exe
kregex.exe
uihost.exe
trojdie.kxp
frogagent.exe
360Safe.exe
AST.exe
8、修改下列服务，禁止启动运行
kavsvc
AVP
AVPkavsvc
McAfeeFramework
McShield
McTaskManager
McAfeeFrameworkMcShield
McTaskManager
navapsvc
KVWSC
KVSrvXP
Schedule
sharedaccess
RsCCenter
RsRavMon
RsCCenter
RsRavMon
wscsvc
KPfwSvc
SNDSrvc
ccProxy
ccEvtMgr
ccSetMgr
SPBBCSvc
Symantec
CoreLC
NPFMntor
MskService
FireSvc
Alerter
