Win32.Troj.PcRob.cb

2008-02-23 08:28:16来源：互联网阅读 ()

病毒名称: Win32.Troj.PcRob.cb 类别：木马病毒病毒资料：该病毒是一个盗取用户信息的木马。运行该病毒会添加启动项，复制自身为多个伪
系统正常程序，并安装成伪系统正常服务，使用户难以发觉病毒的存在。
建议电脑用户不要随便运行不明程序，以免中毒受害。

1、生成的文件
％SystemRoot％\system32\netstart.exe
％SystemRoot％\system32\regshell.exe
％SystemRoot％\system32\winpub.reg
％SystemRoot％\systems.exe

2、新建系统服务，添加自动项
HKLM\System\CurrentControlSet\Services\Remss_Ser
"Type" = "0x110"
HKLM\System\CurrentControlSet\Services\Remss_Ser
"Start" = "0x2"
HKLM\System\CurrentControlSet\Services\Remss_Ser
"ImagePath" = "％SystemRoot％\system32\netstart.exe -service"
HKLM\System\CurrentControlSet\Services\Remss_Ser
"DisplayName" = "Remote Managements Instrumenta"
HKLM\System\CurrentControlSet\Services\Remss_Ser
"Description" = "管理局域网和远程连接。如果此服务被禁用，任何依赖它的服务将无法启动。"

3、修改注册表，添加启动项
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"webService" = "systems.exe"
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{340121DC-1BEF-1A77-0106-060207060704}
"StubPath" = "％SystemRoot％\system32\REGshell.exe"
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2006-9-10

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有