循环瘫痪下载器创建副本 随时恢复自身 |
| 更新时间:2008-3-29 0:25:20 |
责任编辑:池天 |
|
|
循环瘫痪下载器208896”(Win32.Troj.Agent.bk.208896)是一个病毒下载器。该病毒运行后会修改用户的计算机配置信息，关闭用户机器上运行的流行杀毒软件和防火墙，从网络上下载大量木马，盗窃用户电脑中有价值的敏感信息。
病毒名称(中文)：循环瘫痪下载器208896
威胁级别：★★☆☆☆
病毒类型：木马下载器
病毒长度：208896
影响系统：Win9x WinMe WinNT Win2000 WinXP Win2003
病毒行为：
这是一个病毒下载器。该病毒运行后会修改用户的计算机配置信息，关闭用户机器上运行的流行杀毒软件和防火墙，从网络上下载大量木马，盗窃用户电脑中有价值的敏感信息。
1、释放文件
%systemroot%\system32\msosiocp.dll
%systemroot%\system32\Setup\en_1072.bin
该文件是msosiocp.dll的一个副本，当msosiocp.dll被删除后，病毒用次副本来恢复msosiocp.dll。
如果用户机器上安装了卡巴反病毒软件，病毒释放一个驱动程序%systemroot%system32\\drivers\beep.sys。如果没有安装卡巴，病毒释放这个驱动程序到%temp%目录，并且文件名随机。
2、对抗杀毒软件
病毒启动自己释放的驱动程序。该驱动程序的作用就是恢复系统SSDT表，使一些反病毒软件的主动防御功能失效。
驱动程序运行完以后，病毒马上将其注册表项删除，需要运行时再创建。
病毒还会不断的查找反病毒软件的主窗口，并强行将其关闭。
3、下载病毒
该病毒从网上下载一个下载列表，下载列表的URL为http://c.15**m.com/okok.txt。
病毒下载列表里的所有病毒，并运行它们。这些被下载的程序都是木马程序，主要是盗取用户的网络游戏账号密码，以及其他一些私密信息。
| | | |
|
安全中国首页 > 新闻中心 > 热门病毒信息