Win32.Hack.Popwin.ai.18474

病毒名称Win32.Hack.Popwin.ai.18474

威胁级别★★☆☆☆

病毒类型蠕虫病毒

病毒长度18474

影响系统WinNT Win2000 WinXP

病毒行为这是一个可通过移动硬盘传播的病毒,通过修改系统年份使卡巴斯基杀毒软件失效,查找窗口关闭金山毒霸.

会从指定的网址上下载大量恶意软件在用户计算机上.一切病毒相关的服务名和文件名都是随机的.

释放以下病毒文件:

%systemroot%system3283816DBD.EXE (文件名随机)

%systemroot%system32D7A48A2F.DLL (文件名随机)

在每个盘的根目录下生成病毒文件 auto.exe 和病毒辅助文件 autorun.inf,达到通过双击盘符就自动运行病毒文件 auto.exe的目的.

病毒是根据已内定的某些字符与获取用户电脑上的C盘的卷序列号进行计算,得出随机文件名.

枚举计算机进程,如发现 avp.exe(卡巴斯基),则修改系统年份为 2005 使其失去作用.

通过查找窗口的方法,如发现窗口标题为"金山毒霸"的则发送消息关闭.

病毒在联网状态下会读取某网址下的 update.txt 获取其它恶意软件的下载地址,获取完下载保存在用户计算机上并运行.

创建注册启动项: (注意:服务名也是随机)

HKEY_CURRENT_USERSYSTEMCurrentControlSetServices265E9253

HKEY_CURRENT_USERSYSTEMCurrentControlSetServices265E9253 Description "D7A48A2F"

HKEY_CURRENT_USERSYSTEMCurrentControlSetServices265E9253 DisplayName "265E9253"

HKEY_CURRENT_USERSYSTEMCurrentControlSetServices265E9253 ImagePath "%systemroot%system3283816DBD.EXE -k"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices265E9253

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices265E9253 ImagePath "%systemroot%system3283816DBD.EXE -k"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices265E9253 DisplayName "265E9253"

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices265E9253 Description "D7A48A2F"