Dec

23

http://www.ucdq.com/k.exe

Filed Under Virus | 

http://www.ucdq.com/k.exe这个病毒最近好像有一部分人都中了，在分析后试了一下手动清除感觉还是很容易的，没什么保护。

Trojan-Downloader.Win32.Small.czl分析

一、 病毒标签：

病毒名称： Trojan-Downloader.Win32.Small.czl

病毒类型： 木马

文件 MD5： 2D747C2BAC72A1E87F4DA7F8E7C1E985

公开范围： 完全公开

危害等级： 4

文件长度： 24,576 字节

感染系统： windows98以上版本

加壳类型： PE-Armor 0.46

二、 病毒描述：

 该病毒为木马类，病毒运行后复制自身到%sysytem32%下，并重命名为twunk32.exe，之后删除自身，修改注册表，添加启动项，以达到随机启动的目的。该病毒以网络连接的形式传播，近期比较流行。

三、 行为分析：

1、病毒运行后复制自身到%sysytem32%下，并重命名为twunk32.exe，之后删除自身：

%system32%\twunk32.exe

2、修改注册表，添加启动项，以达到随机启动的目的：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\

键值: 字串: “twin”=”C:\WINDOWS\system32\twunk32.exe”

3、该病毒以网络连接的形式传播，近期比较流行。

下载地址：

http://www.ucdq.com/k.exe
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

四、 清除方案：

       手工清除请按照行为分析删除对应文件，恢复相关系统设置。

        (1) 关闭病毒进程

        (2) 删除病毒文件

%system32%\twunk32.exe

        (3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run\

键值: 字串: “twin”=”C:\WINDOWS\system32\twunk32.exe”

Related Posts:

written by lina \\ tags: , ,

Comments

Leave a Reply

You must be logged in to post a comment.