Trojan.Win32.Slave

2008-02-23 08:36:40来源：互联网阅读 ()

病毒名称: Trojan.Win32.Slave 类别：木马病毒病毒资料：破坏方法：

木马病毒

病毒采用VB编写，UPX压缩。

病毒运行后有以下行为：

一、将自己复制为以下文件：

1.C:\WINDOWS\msslave.exe
2.C:\WINNT\msslave.exe

二、修改注册表以下键值：

1.
HKEY_LOCAL_MACHINE\Software\Microsoft
\Windows\Currentversion\Run
增加数据项："Service Pack 3"
数据值为："MSSLAVE.EXE"
(修改该项可以使系统每次启动时运行病毒)

2.
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\policies\system
修改数据项："disabletaskmgr"
修改数据值为：0X00000001
(修改该项可以使系统无法运行任务管理器)

3.
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\policies\system
修改数据项："disableregistrytools"
修改数据值为：0X00000001
(修改该项可以使系统无法运行注册表编辑工具)

4.
HKEY_CURRENT_USER\Software\Microsoft
\Windows\Currentversion\Policies\EXPlorer
修改数据项："norun"
修改数据值为：0X00000001
(修改该项可以使系统开始菜单中没有"运行"这一项)

5.HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet
\Control\ComputerName\activeComputerName
修改数据项："computername"
修改数据值为："Agent Hacker"
(修改该项使当前计算机名为"Agent Hacker")

6.HKEY_LOCAL_MACHINE\software\microsoft
\windows\currentversion\windowsupdate\auto update\

修改数据项：(默认)
修改数据值为："MSSLAVE.EXE"
(修改该项使系统在升级时使用病毒文件--"MSSLAVE.EXE")

7.增加注册表键：

HKEY_LOCAL_MACHINE\software\microsoft
\windows\currentversion\runservices-

三、查看当前系统中是否有以下进程，如果有则强行将它们结束：

_Avpcc.exe
_avpm.exe
_findviru.exe
Ackwin32.exe
Alogserv.exe
Amon.exe
Anti -trojan.exe
F-prot95.exe
Fp-win.exe
Guarddog.exe
Iamapp.exe
Iomon98.exe
Lookout.exe
Navapsvc.exe
Navapw32.exe
……
(篇幅过长不能全部列出)

四、检测当前计算机是否连接网络，如果是病毒将从指定的网站下载其他的病毒文件到本地运行。

五、对以下几个网站发送55555个长度为2000个字节的垃圾数据包：

www.microsoft.com
www.hotmail.com
www.fbi.gov
www.symantec.com
病毒的清除法：使用光华反病毒软件，彻底删除。病毒演示：病毒FAQ： Windows下的PE病毒。
发现日期： 2004-12-29

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有