黑色海岸线论坛 - Powered by Discuz! Board

标题: [转帖]警惕下载者木马变种 [打印本页]

作者: hao123 时间: 2007-1-10 17:00 标题: [转帖]警惕下载者木马变种

转帖:警惕下载者木马变种
   Trojan-Downloader.Win32.Delf.awy病毒运行后，病毒衍生文件到系统目录下，更改Explore.exe的BHO对象，间接挂载病毒体。从而在指定服务器地址下载病毒体到本机运行，并利用间谍软件掩藏自身,并关闭任务管理器进程，修改IE首页。该病毒会造成用户电脑极度缓慢。
清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
spoclsv.exe
(2) 删除病毒释放文件
%Windir%\ abc.exe
%Windir%\update.exe
%Windir%\update24.exe
%Windir%\toolsp.exe
%Windir%\cc123.dll
%System32%\alsmt.exe
%System32%\albus.dll
%System32%\alstd.dat
%System32%\stdplay.dll
%System32%\stdstub.dll
%System32%\stdupnet.dll
%System32%\stdvote.dll
%System32%\ybzwkdjnrfvijev.dll
%System32%\dirvers\spoclsv.exe
%System32%\dirvers\Albus.SYS
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\svcshare 键值: 字符串: "%WINDOWS%\system32\drivers\spoclsv.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\System 键值: 字符串: "%Program Files%\Common Files\System\Updaterun.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\alsmt.exe 键值: 字符串: "%WINdir\system32\alsmt.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\@
键值: 字符串: "C:\WINDOWS\system32\ybzwkdjnrfvijev.dll"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\ThreadingModel  键值: 字符串: "Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer  \Browser Helper Objects\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\
相关链接参见：http://www.antiy.com/security/report/200701010.htm

欢迎光临黑色海岸线论坛 (http://bbs.thysea.com/)