TrojanDropper.Cpan
TrojanDropper.Cpan
TrojanDropper.Cpan是修改IE默认页使其指向一些色情网站的木马，它经UPX压缩过，IE默认页被修改为 webcoolsearch.com
它的传播过程为：首先安装木马程序，然后创建隐藏文件 %System%Cpan.dll
注：%System%一般为
C:WindowsSystem (Windows 95/98/Me),
C:WinntSystem32 (Windows NT/2000), or
C:WindowsSystem32 (Windows XP).
接着调用Cpan.dll 并执行下列命令：rundll32.exe ctrlpan,Restore 。
当Cpan.dll 被装载后，会有如下动作：
1.创建 %Windir%hh.htt 文件
2.在注册表 HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWindows 下添加 "AppInit_DLLs"="cpan.dll" 键值HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorer 下添加 "Control" = "<number>" 键值.
3.创建或重写 %System%DriversEtcHosts file 文件，文本内容为：
127.0.0.1 localhost
213.159.117.235 auto.search.msn.com
4.在注册表 HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerStyles 下添加 "User Stylesheet"="%Windir%hh.htt"
"Use My Stylesheet"=0x1 键值
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain 下添加 "Start Page"="http:/ /aifind.info/"
"Search Page"="http:/ /aifind.info/"
"Search Bar"="http:/ /aifind.info/" 键值
HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorer 下添加 "SearchURL"="http:/ /aifind.info/" 键值
HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerSearch 下添加 "SearchAssistant"="http:/ /aifind.info/" 键值
5.在收藏夹里创建大量色情网站的链接。