Win32.Troj.Downloader.ho

王朝百科·作者佚名 2009-12-26

病毒别名：处理时间：2007-04-23 威胁级别：★

中文名称：病毒类型：木马影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个下载器，连接网络下载多种木马病毒。

1、复制自身到如下路径：

C:Program FilesInternet ExplorerPLUGINSBinNice.bak

释放病毒DLL文件到如下路径：

C:Program FilesInternet ExplorerPLUGINSBinNice.dll

2、修改注册表，添加如下表项，是病毒每次系统启动时加载自身：

HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}(Default)

HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}InProcServer32

(Default)="C:Program FilesInternet ExplorerPLUGINSBinNice.dll"

HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}InProcServer32

"ThreadingModel"="Apartment"

3、安装全局钩子，将病毒dll文件注入系统中存在的进程。

4、当发现注入的进程为explorer.exe或VerCLSID.exe时，连接网络到如下网址下载病毒到本地并运行：

h**p://7y7.us/s**n/csrss.exe

h**p://7y7.us/s**n/svchost32.exe

h**p://7y7.us/s**n/smss.exe

h**p://7y7.us/s**n/services.exe

h**p://7y7.us/s**n/svchost.exe

h**p://7y7.us/s**n/conime.exe

h**p://7y7.us/s**n/ctfmon.exe

h**p://7y7.us/s**n/mmc.exe

h**p://7y7.us/s**n/iexplore.exe

h**p://7y7.us/s**n/srogm.exe

5、向可移动磁盘中复制如下病毒文件，传播自身：

Ghost.pif

autorun.inf