Rpcs.exe

档案编号：CISRT2006065

病毒名称：Trojan-PSW.Win32.QQRob.jq（Kaspersky）

病毒别名：Win32.Hack.HacDec.b.170496（毒霸）

Trojan.DL.Agent.yhw（瑞星）

病毒大小：170,496 字节

加壳方式：N/A

样本MD5：5aafc0ce2e2fee8b9690af1c8c11ae53

样本SHA1：b4abb1fe952ad34c38148a5081c11888bd2d0536

发现时间：2006.11

更新时间：2006.11

关联病毒：

传播方式：通过恶意网站、其它病毒/木马下载

技术分析

==========

运行后复制自身到系统目录：%System%RpcS.exe，释放%System%RpcS.dll进驻内存，使用bat批处理删除原文件。

创建服务：

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcS]

显示名：Remote Procedure Call System(RPCS)

描述：管理并控制RPC服务数据库。

可执行文件的路径：%System%RpcS.exe

清除步骤

==========

1. 删除病毒创建的服务：

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRpcS]

2. 重新启动计算机

3. 删除病毒文件：

%System%RpcS.exe

%System%RpcS.dll