标题: [转帖]警惕木马Trojan.Win32.keyfkcq [打印本页]

---

作者: h24arb    时间: 2005-12-29 10:54     标题: [转帖]警惕木马Trojan.Win32.keyfkcq

转帖:警惕木马Trojan.Win32.keyfkcq
来自安天实验室：
http://www.antiy.com/index.htm
病毒标签：
病毒名称： Trojan.Win32.keyfkcq
病毒类型： 木马
文件 MD5： E9E8D5A83BF782E704F058D2C9A04427
公开范围： 完全公开
危害等级： 低
文件长度： 214,016 字节
感染系统： windows 98 及以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： UPX
命名对照： Symentec[无]
　　　　　 Mcafee[无]

病毒描述：
　 该病毒属木马类，病毒主要危害是记录用户的键盘输入，在记录到用户的信息后便会发送到病毒作者的邮箱内。病毒盗用IE网页图片的图标，病毒运行后会复制自身到%programn files%下，修改注册表文件。病毒在复制后，便释放一个bat文件，删除原病毒副本和该bat文件。
行为分析：
1、病毒运行后复制自身到：
　%Program Files%\Internet Explorer\Connection Wizard
2、修改注册表文件，添加启动项：
　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinXP
　键值: 字串: "%\Program Files%\Internet Explorer\Connection Wizard\病毒副本名"
3、在复制完成后，就会在同目录下释放一个名为$$5555.bat的文件，删除原病毒副本和该bat文件。
4、该病毒具有纪录用户键盘功能，待纪录信息后便发送信息到邮箱：
　2002-fkcq@163.com
　2005-fkcq@163.com
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
　(1) 使用“任务管理器”关闭病毒进程
　(2) 删除病毒文件
　　%Program Files%\Internet Explorer\Connection Wizard\病毒副本
　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinXP
　　键值: 字串: "%\Program Files%\Internet Explorer\Connection Wizard\病毒副本名"
附：
安天木马防线2005+试用版下载地址:
http://www.antiy.com/product/ghostbusters/index.htm
病毒上报信箱: submit@virusview.net
木马防线2005+：
　 木马防线2005+是安天实验室出品的个人信息安全产品，是木马防线2005的全新升级版，具备高效木马查杀、系统安全管理、实时网络防护等功能。
高效木马查杀:　
    采用高速智能检测引擎（ＳＶＥ），能够完全查杀国内外流行的6万余种木马、后门、蠕虫、间谍软件、广告软件、黑客工具、色情拨号程序等，尤其对各类未知有害程序具有极高的检出率。
系统安全管理:
    提供了丰富的安全管理工具，能够修复IE和注册表设置，管理系统中各项任务、进程、服务、共享资源和自启动项，监控网络的连接状态和开启的端口。
实时网络防护:
    全新的安天盾防火墙功能更加强大，能够实时监控您的系统和网络，随时发现活动的木马等可疑程序，并能查封指定IP地址和端口，有效拦截各类诸如"冲击波""震荡波"的扫描攻击行为。

---

欢迎光临 黑色海岸线论坛 (http://bbs.thysea.com/)

Powered by Discuz! 7.2