Trojan.Prova

2008-02-23 09:02:34来源：互联网阅读 ()

病毒名称: Trojan.Prova 类别：特洛伊木马病毒资料：受影响系统：Windows 95, Windows 98, Windows NT, windows 2000, Windows XP, Windows Me

危险级别：中

传播速度：低

病毒危害：

1.降低电脑性能：可删除"开始"菜单中的"运行"选项，并且能禁止编辑注册表；

2.导致系统不稳定：会关闭系统。

技术特征：

该特洛伊木马的主程序文件是一个可执行的文件，且包含有该木马的其他所有组件。主程序文件看起来是一个Macromedia Flash 图标，大约1M多字节。运行后会创建许多子文件，以下就是这些子文件的列表以及每个文件的功能：

1.<任意名>.exe: 这是此木马主要的可执行文件，文件名任意：

大小: 1,001,081字节

图标: Macromedia Flash icon

创建的文件:

Prova.exe

Quiz.exe

Pl.dll (这是一个清除文件)

所完成的功能: 运行Prova.exe程序.

2.Prova.exe:由主可执行文件创建；

大小: 383,231字节

图标: Macromedia Flash icon

创建的文件:无

所完成的功能:运行Quiz.exe,利用Flash动画显示意大利语信息,并启动Sistrai.exe

3.Quiz.exe: 由主可执行文件创建；

大小: 690,688字节

图标: Macromedia Flash icon

创建的文件:

C:WindowsSystemExplorer.exe

C:WindowsCommandSistray.exe

C:WindowsCommandSistrai.exe (一个清除文件)

所完成的功能:将 C:WindowsSystemMsconfig.exe更名为 C:WindowsSystemSystem12.sys

注意: Msconfig.exe在Windows 95、Windows NT/2000/XP 系统上没有。

4.Pl.dll: 由主可执行文件创建；

大小: 17,920 字节

图标: Windows DLL icon

创建的文件: 无

所完成的功能: 木马用此清除文件来关闭系统。

5.Explorer.exe: 由木马生成的Quiz.exe可执行文件创建.

大小: 403,025 字节

图标: Windows Explorer icon

创建的文件:

1.exe

Sistrai.exe (清除文件.)

所完成的功能:运行1.exe

6.Sistray.exe: 由木马生成的Quiz.exe可执行文件创建.

大小: 336,827字节

图标: Macromedia Flash icon

创建的文件:

Zebedeo.exe

Autoexe.exe

所完成的功能:运行Zebedeo.exe

7.Sistrai.exe: 由木马生成的Quiz.exe或Explorer.exe可执行文件创建.

大小: 30,208 字节

图标: Systray icon

创建的文件:无

所完成的功能:关闭计算机的一个小程序工具，木马用此工具来关闭系统.

8.Zebedeo.exe:由木马生成的Sistray.exe可执行文件创建.

大小: 378,582字节

[iduba_page]图标: Macromedia Flash icon

创建的文件:无

所完成的功能: 运行 Autoexe.exe 及Sistrai.exe,这两个文件会关闭系统.

9.Autoexe.exe:由木马生成的Sistray.exe可执行文件创建.

大小: 31,744 字节

图标: Macromedia Flash icon

创建的文件: Autoexe.bat

所完成的功能: 尝试运行并删除Autoexe.bat文件.

另外，此木马会创建一个原始自动批处理文件Autoexec.bat的备份文件Autoexec.bac ，之后创建自己的批处理文件Autoexec.bat。系统重新启动后，被感染的Autoexec.bat文件会将未受感染的C:WindowsExplorer.exe移动到C:WindowsCommandExplorer.exe。然后将C:WindowsSystemExplorer.exe（木马所生成的文件）移动到C:WindowsExplorer.exe。

同时会分别添加如下键值到注册表中：

sistray c:windowscommandsistray.exe

sistrai.exe c:windowscommandsistrai.exe

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce

在Win 95/98/Me系统上，此木马会关闭Regedit.exe并将"运行"选项从"开始"菜单中删除。为了使Regedit.exe无法运行，它将注册表

HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem中的DisableRegistryTools键值设为0。

而将"运行"选项从"开始"菜单中删除，它是将注册表HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer

中的NoRun键值改为0。

注意：上述对注册表的修改不会发生在Win NT/2000/XP上。

编辑注册表：

1.点击"开始"、"运行"菜单，出现"运行"对话框；

2.键入regedit并单击"确定"，注册表编辑打开；

3.找到如下键：

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

4.在右边窗口删除如下键值：

sistray c:windowscommandsistray.exe

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有