winlogin.scr等病毒详解与清除方案,来源:麦田守望者,www.2000xg.com
病毒症状:
该样本是使用“Delphi”编写的后门程序,长度为“753,152 字节”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页木马”等方式传播,病毒主要目的为设立后门,使用户电脑沦为傀儡主机。
用户中毒后,可能会出现计算机无故重启、关闭,重要文件丢失,系统及网络缓慢、摄像头无故启用、程序无故关闭、注册表被修改、出现各类病毒等导致用户隐私泄露及影响用户使用的现象。
感染对象:
Windows 2000/Windows XP/Windows 2003
传播途径:
网页挂马、文件捆绑、下载器下载。
病毒分析:
(1)读取并解密自己配置信息;
(2)复制自身到%SystemRoot%\winlogin.scr;
(3)注册服务,启动病毒;
(4)创建svchost.exe进程,把病毒代码注入进程;
(5)创建批处理文件删除自身;
(6)尝试连接黑客主机。
病毒创建文件:
%SystemRoot%\winlogin.scr
%SystemRoot%\uninstal.bat
病毒删除文件:
%SystemRoot%\uninstal.bat
病毒创建注册表:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
病毒创建进程:
svchost.exe
病毒访问网络:
huangw***21.3322.org:7000
解决方案:
1、手动删除以下文件:
%SystemRoot%\winlogin.scr
2、手动删除以下注册表值:
键:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\1
变量声明:
%SystemDriver% 系统所在分区,通常为“C:\”
%SystemRoot% WINDODWS所在目录,通常为“C:\Windows”
%Documents and Settings% 用户文档目录,通常为“C:\Documents and Settings”
%Temp% 临时文件夹,通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录,通常为:“C:\ProgramFiles”
转载请尊重版权,出处:秋天博客 本文链接: https://www.cfresh.net/web-security/227