Trojan.Win32.BHO.ab
一、 病毒标签：
病毒名称： Trojan.Win32.BHO.ab
病毒类型： 木马类
文件 MD5： 86773C42FF56F72CF1CEB3C120A5BE26
公开范围： 完全公开
危害等级： 3
文件长度： 135,168 字节
感染系统： windows 98以上版本
开发工具： Microsoft Visual C++ 7.0
加壳类型： 无
二、 病毒描述：
该病毒为木马类，病毒运行后衍生病毒文件到系统目录下。 修改注册表，添加启动项，以达到随浏览器启动而启动的目的，启动后进行劫持浏览器，键盘记录等相关病毒行为。主动连接网络，下载相关病毒文件信息。该病毒通过恶意网站、其它病毒/木马下载传播，可以盗取用户敏感信息。
三、 行为分析：
1、病毒运行后，衍生病毒文件到系统目录下：
%Program Files%NetMeetinglawugeqi
%Program Files%NetMeetinglawugeqi.dll
%Program Files%NetMeeting progyrtaky.html
2、修改注册表，添加启动项，以达到随浏览器启动而启动的目的：
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{CB44128D-95B1-4A2F-31B2-FE434A08B86C}InProcServer32
键值: 字串: "默认" = "C:Program FilesNetMeetinglawugeqi.dll"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: "默认" = "0"
3、lawugeqi.dll随IEXPLORER.EXE进程的启动而启动，进行劫持浏览器，键盘记录等相关病毒行为。
4、主动连接网络，下载相关病毒文件信息:
地址:端口 如下：
193.189.93.14:80
209.139.239.118:80
69.20.25.92:80
209.162.178.14:80
下载文件如下：
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe
5、该病毒通过恶意网站、其它病毒/木马下载传播，可以进行劫持浏览器，键盘记录,盗取用户敏感信息等。
注释：
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动系统所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% 当前用户TEMP缓存变量；路径为：
%Documents and Settings%当前用户Local SettingsTemp
%System32% 是一个可变路径；
病毒通过查询操作系统来决定当前System32文件夹的位置；
Windows2000/NT中默认的安装路径是C:WinntSystem32；
Windows95/98/Me中默认的安装路径是C:WindowsSystem；
WindowsXP中默认的安装路径是C:WindowsSystem32。
四、 清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。
(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程
强行终止lawugeqi.dll运行
(2) 强行删除病毒文件
%Program Files%NetMeetinglawugeqi
%Program Files%NetMeetinglawugeqi.dll
%Program Files%NetMeeting progyrtaky.html
to[1].htm
zone[1].htm
actdkpubid64[1].htm
tekID64[1].ini
hGFdeYYm64pUIdwQ[1].exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{CB44128D-95B1-4A2F-31B2-FE434A08B86C}InProcServer32
键值: 字串: "默认" = "C:Program FilesNetMeetinglawugeqi.dll"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser Helper Objects{CB44128D-95B1-4A2F-31B2-FE434A08B86C}
键值: 字串: "默认" = "0"