 |
|
|||||||
|
|||||||||
 |
您现在的位置： 电脑软硬件应用网 >> 电脑学院 >> 黑客防线 >> 正文 |
|
|||||
| Trojan-Clicker.Win32.Costrat.es(oqtxde.chm)后门下载器查杀 | |||||
| 作者:孤独更可… 文章出处:网友博客 更新时间:2008-5-5 10:13:41 | |||||
|
文件名称：oqtxde.chm
文件大小：58,368 bytes
AV命名：Trojan-Clicker.Win32.Costrat.es
加壳方式：未
文件MD5：DF5EC5ED3C24C790D82CB1CCE5568074
病毒类型：后门
行为分析：
1、释放文件：
c:\Windows\Help\oqtxde.chm 58,368 bytes
2、注册系统服务，开机启动：
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oqtxde\Security] Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 0 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oqtxde] Type = 0x00000001 Start = 0x00000001 ErrorControl = 0x00000000 ImagePath = "%Windir%\Help\oqtxde.chm" ExtParamD = 55 FB A9 96 99 32 11 3E 00 00
3、修改Services.exe内存，并把自己代码注入。
4、连接208.**.169.1，可能会下载其他木马或被利用为跳板。
解决方法：
1、重启计算机，按F8进入安全模式。
2、删除文件：c:\Windows\Help\oqtxde.chm 注意这个名字可能不固定。不过生成日期比较靠后，是58,368字节
3、打开注册表，删除该启动项：oqtxde 本文引用自www.45it.com电脑软硬件应用网 |
|||||