病毒名称:
Win32.Troj.PcRob.ij
类别： 木马病毒
病毒资料：
该病毒是一个搜索引擎劫持木马。该病毒会在用户使用搜索引擎时强行添加查询参数到用户搜索中，并会跳转到指定的网页。
1、生成的文件
％SystemRoot％\system32\syshost.exe
％SystemRoot％\userinit.exe
％SystemRoot％\taskmgr.exe
％SystemRoot％\system32\cmd.pif
2、修改注册表，添加自启动项
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
"Userinit" = "％SystemRoot％\userinit.exe,"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"(Default)" = "cmd.pif"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
"load" = "syshost.exe"
3、该病毒在系统中安装了三个类型为WH_MSGFILTER的消息钩子，以收集用户信息，
其申请程序分别是：％SystemRoot％\system32\syshost.exe、％SystemRoot％\taskmgr.exe、原病毒程序
4、该病毒会自动访问网络，将收集到的用户信息发送给211.157.***.71：611的服务器。
5、该病毒会在用户使用搜索引擎时会自动添加一些查询条件，跳转到指定的网址。
在百度搜索引擎里添加&tn=ok961_pg
在Google搜索引擎里添加&forid=1&client=pub-8971877319354686
在sogou搜索引擎里添加&pid=iturn_ok961
在中搜搜索引擎里添加&webid=100bing
在iask.com搜索引擎里添加&pid=40358
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2006-9-10
|
