Win32.Troj.Vidro.t

病毒别名：

处理时间：2005-08-04

威胁级别：★

中文名称：

病毒类型：木马

影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个捆绑型木马，首先将木马Win32.Troj.Vidro.ht.4096(wins32.dll)释放到%system%下，并将该木马注入到系统进程lsass.exe。Win32.Troj.Vidro.ht.4096从网上下载另一个木马 Win32.Troj.proxyAgent.cm.22528(love.exe)，并执行该木马。木马Win32.Troj.proxyAgent.cm.22528首先将自己拷贝到%system%desktop.exe，然后设置开机启动；该病毒释放木马Win32.Troj.proxyAgent.th.37376，并执行该木马，然后连接一些黄色网站，将用户主机设为代理服务器，并可以盗取用户信息。

1，该病毒充分利用网络，组成一个病毒链，便于病毒更新升级。

2，捆绑技术

Win32.Troj.Vidro.t.9216 捆绑 Win32.Troj.Vidro.ht.4096

Win32.Troj.proxyAgent.cm.22528 捆绑 Win32.Troj.proxyAgent.th.37376

3，进程注入技术

注入到系统进程lsass.exe

4，添加启动项

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun

desktop="%system%desktop.exe"

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices

desktop="%system%desktop.exe"