病毒名称:
Win32.Troj.Downloader.dq
类别： 木马病毒
病毒资料：
该病毒为Windows平台下的用于下载其它广告或病毒程序的下载器，病毒运行后自身复制为伪系统正常程序，然后利用注入技术将下载代码注入系统正常程序进程中进行下载其它广告软件或病毒。
病毒主要通过捆绑软件方式进行传播。
1、病毒运行后将自身复制为以下伪系统正常程序:
％Windir％\Svchost.exe
并且病毒会在每个分区的根目录下生成以下文件(病毒在运行过程中病毒会实时生成该文件):
*:\pagefile.pif
2、病毒运行过程中强行终止以下进程:
KvmonXP.exe
ravmon.exe
3、病毒运行后在每一个分区的根目录下生成"autorun.inf"文件，文件内容如下:
[AutoRun]
open=pagefile.pif
shellexecute=pagefile.pif
shell\Auto\command=pagefile.pif
4、病毒通过修改以下注册表项使病毒开机后自动运行:
[HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\Windows NT\CurrentVersion\Winlogon]
shell = "Explorer.exe (很多空格)svchost.exe"
5、第一次运行病毒时，病毒生成以下文件,以用记录用户是否第一次运行:
％Program files％\label.tmp
文件内容为:"first run"
6、病毒通过查找窗体类名为"Shell_TrayWnd"和"IEFrame"的方式定位Explorer、IE进程,然后将下载代码注入该进程中。
7、网络可用时病毒下载以下相关程序:
http://www.lt**.cn/Label.jpg
http://www.lt**.cn/yx.exe
http://ad1.999***.com/Setup10060/Setup10060.exe
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2006-9-11
|
