Win32.Agent.sd

Win32.Agent.sd

病毒别名： 处理时间：2007-04-06 威胁级别：★

中文名称： 病毒类型：Win32病毒 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个后门程序。该病毒将一正常文件放在资源节中，运行时会释放并运行正常文件，以欺骗用户达到隐藏自身的目的。

1、生成的文件

%Program Files%Internet ExplorerUpdate.exe（原病毒文件拷贝）

%WINDOWS%flash.exe（该病毒释放的非病毒可执行文件）

2、添加启动伪系统服务

HKLMSystemCurrentControlSetServicesDNS Servers

"Type" = "0x110"

HKLMSystemCurrentControlSetServicesDNS Servers

"Start" = "0x2"

HKLMSystemCurrentControlSetServicesDNS Servers

"ImagePath" = "%Program Files%Internet ExplorerUpdate.exe"

HKLMSystemCurrentControlSetServicesDNS Servers

"Description" = "为本地连接internet 记录日志或更新Microsoft 相关程序服务"

3、添加TypeLib组件

HKCRTypeLib{EF4F0A45-63FA-4544-880B-58B5305EB6FB}1.0

"(Default)" = "GUISer 1.0 Type Library"

HKCRTypeLib{EF4F0A45-63FA-4544-880B-58B5305EB6FB}1.0win32

"(Default)" = "%Program Files%Internet ExplorerUpdate.exe"

4、会下载并执行其他病毒。

http://www.zuyu.net/iis/iis.***

5、添加注册表感染信息

HKLMSoftwareMicrosoftWindowsCurrentVersion

"Internet Explorer update" = "WINDOWS"

HKLMSoftwareMicrosoftWindows

"YYYY" = "update"

6、将Macromedia Flash Player 8.0 r22正常文件放在类型为exe的资源中。

运行该病毒会打开Macromedia Flash Player 8.0程序