3874jr98.exe
病毒症状该样本是使用“C语言”编写的木马下载者，长度为18,959字节，采用UPX加壳，“ exe”扩展名，通过网页木马、下载器下载、等方式进行传播。 用户中毒后，会出现计算机及网络运行缓慢，异常网络访问、出现大量未知进程等现象。
感染对象Windows 2000/Windows XP/Windows 2003/Windows Vista
传播途径网页挂马、文件捆绑、下载器下载
病毒分析1.病毒运行后首先检查自己路径是否为"%SystemRoot%system32svchost.exe"，如果不是再次检查是否为"%SystemRoot%system323874jr98.exe"。
2.不是则拷贝自己为3874jr98.exe，调用CreateProcessInternalA执行此文件，如果失败，再次调用ShellExecuteA执行此文件，调用命令行自我删除。
3.释放驱动文件PCIdump.sys，创建服务，通过向名称为"\.fuck1986"的设备发送控制码，恢复SSDT，使杀毒软件失效。
4.当3874jr98.exe执行后，创建名称为0983240923je9832的服务，并启动，然后退出当前进程。
5.服务启动后，创建互斥量，注入svchost.exe，创建线程，连接网络，下载病毒到本地保存为%SystemDriver%long.exe
病毒创建文件：
%SystemRoot%system323874jr98.exe
%SystemRoot%system32driverspcidump.sys
%SystemDriver%long.exe
病毒创建注册表：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices93jr9j329r30942
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicespcidump
解决办法1、手动删除以下文件(如遇提示无法删除文件，下载费尔木马强制删除器工具进行强制删除)：
%SystemRoot%system323874jr98.exe
%SystemRoot%system32driverspcidump.sys
%SystemDriver%long.exe
2、手动删除以下注册表(开始菜单－运行－输入“regedit”进入注册表依次找到说明选项并按提示操作)：
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices93jr9j329r30942
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicespcidump
变量声明%SystemDriver%系统所在分区，通常为“C:”
%SystemRoot%WINDODWS所在目录，通常为“C:Windows”
%Documents and Settings%用户文档目录，通常为“C:Documents and Settings”
%Temp%临时文件夹，通常为“C:Documents and Settings当前用户名称Local SettingsTemp”
%ProgramFiles%系统程序默认安装目录，通常为：“C:ProgramFiles”