病毒名称:
Trojan.A-311.104.dll.enc
类别： 木马病毒
病毒资料：
破坏方法：
后门病毒。
1.病毒释放PDX.DLL和PDX32.SYS到系统中。
2.添加注册表项
System\CurrentControlSet\Control\MPRServices
\TestService
添加三项：
DLLName "pdx.dll"
EntryPoint "CorpseProc"
StackSize 0x1000
3.然后创建进程mprexe.exe。
4.mprexe.exe是系统程序。
在Win98中，系统启动的时候，会创建进程mprexe.exe，该进程注册为系统服务进程。
负责创建注册表RunService和RunOnce下的程序。
同时该程序还会创建一个线程，该线程地址由
System\CurrentControlSet\Control\MPRServices
\TestService键指定模块及其导出函数。
病毒正是采取这种方式自启动。
5.PDX.DLL的"CorpseProc"函数会不停的退出旧线程、创建新线程，连接指定的网址，接收远程控制命令。
同时发送“A-311 Death Welcome”,病毒名称由此而来。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2003-10-6
|
