病毒名称(中文):
劫持式下载器127109
病毒别名:
威胁级别:
★★☆☆☆
病毒类型:
木马下载器
病毒长度:
127109
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒是一个下载者木马。病毒运行后会从网上下载其他的病毒文件至用户的机器上并运行。为便于开展破坏，它会搜索并劫持系统中已安装的安全软件，令它们失效。包括毒霸、瑞星、卡巴斯基、诺顿、QQ医生等在内的常见安全产品都是它的劫持目标。
1.生成文件
c:\ProgramFiles\meex.exe
c:\ProgramFiles\CommonFiles\MicrosoftShared\.exe
c:\ProgramFiles\CommonFiles\System\.exe
2.修改注册表
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\helpsvc
Start=dword:00000002dword:00000004
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess
Start=dword:00000002dword:00000004
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Epoch
Epoch=dword:00000028dword:00000029
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
Start=dword:00000002dword:00000004
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wuauserv
Start=dword:00000002
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
CheckedValue=dword:00000001
3.添加启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Defualt="C:\ProgramFiles\CommonFiles\System\.exe"
4.病毒运行后会生成两个".exe"的进程,并且互相保护,无法结束.
5.修改注册表,令隐藏文件无法显示.
6.当窗口打开病毒文件所在的位置时,窗口自动关闭.
7.利用映像劫持技术禁止360,卡巴,QQ医生,金山毒霸,NOD32,瑞星等安全软件的运行.
8.从以下网址下载病毒文件并执行.
www.w*****.com/TDown1.exe
www.w*****.com/ReadDown.txt