黑色海岸线论坛 - Powered by Discuz! Board

标题: [原创]QQ尾巴再次出现警惕不明链接 [打印本页]

作者: hao123 时间: 2006-8-21 15:23 标题: [原创]QQ尾巴再次出现警惕不明链接

[watermark]原创:QQ尾巴再次出现警惕不明链接
安天实验室发布最新下载型木马病毒Trojan-Downloader.Win32.Delf.aex的分析报告，指出病毒使用“Windows图片浏览器”的图标，用以迷惑用户点击运行。病毒运行后，复制自身到系统目录%WINDIR%下，释放病毒文件，修改注册表，添加启动项，以达到随机启动的目的，连接网络，开启本地端口，下载病毒文件。修改用户QICQ密码，盗取用户的敏感信息，并使QICQ带有“QQ尾巴”，自动发送含有被挂马的网站信息。
QQ尾巴内容为：
咱们老同学的校友录有新留言了,你看看吧!
http://www.0451m***.com/img/chianren.htm

最后会终止反病毒软件的进程，阻止杀毒软件的安装。该病毒对用户有较大危害。此类木马的危害等级为中级，提示大家要小心谨慎，尤其在使用及时通讯工具时不要随便点开不明来路链接。
建议大家使用安天木马防线可彻底清除此病毒。如需手工清除请按照木马病毒行为分析后删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%WINDIR%\niw.exe
%system32%\impai.exe
%system32%\tmdown.exe
%system32%\tmdown1.exe
%Program Files%\deskadtop\_uninstall
%Program Files%\deskadtop\allverx.dat
%Program Files%\deskadtop\deskipn.dll
%Program Files%\deskadtop\DeskUn.exe
%Program Files%\deskadtop\Mrup.exe
%Program Files%\deskadtop\Run.dll
%Program Files%\deskadtop\sinfo.ini
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
修改注册表项：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command
键值：字串："默认"="C:\WINDOWS\system32\impai.exe "%1""
改为：
键值：字串："默认"="%SystemRoot%\system32\NOTEPAD.EXE %1."
删除以下注册表项：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
键值: 字串: "NIW "="C:\WINDOWS\NIW.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
键值: 字串: "Desktop"="C:\WINDOWS\system32\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\
键值: 字串: "默认"="C:\PROGRA~1\DESKAD~1\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\
键值: 字串: "ThreadingModel "="Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID
键值: 字串: "默认"="MonitorIE.MonitorURL.1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\VersionIndependentProgID
键值: 字串: "默认"="MonitorIE.MonitorURL"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1\CLSID
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL
键值: 字串: "默认"="MonitorURL Class"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CLSID
键值: 字串: "默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CurVer
键值: 字串: "默认"="MonitorIE.MonitorURL.1"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32
键值: 字串: "默认"="C:\Program Files\DeskAdTop\deskipn.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0
键值: 字串: "默认"="MonitorIE 1.0 Type Library"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\
键值: 字串: "HELPDIR"="C:\Program Files\DeskAdTop\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
键值: 字串: "DownloadManager"="C:\WINDOWS\system32\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体
键值: 字串: " DisplayName "="桌面媒体"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "SetupPath"="C:\Program Files\DeskAdTop\"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体
键值: 字串: "UninstallString"="C:\Program Files\DeskAdTop\DeskUn.exe"
相关链接请参见：http://www.antiy.com/security/report/20060821.htm
[/watermark]

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)