泥客网 - 发布最实用的电脑技术,最新鲜的网文!
泥客注册 | 加入收藏 |
泥客广告牌
关键词:调侃 探索 电脑 网络 轻松 精彩 移动 高谈

文章中心

您的当前位置:泥客网 >> 科技 >> 电脑病毒 >> 浏览文章

Trojan-Downloader.Win32.Delf.aex手动清除方法

2007-08-28 21:19:45 文章来源:泥客论坛 字体:

该病毒属木马类。病毒使用Windows图片浏览器的图标,用以迷惑用户点击运行。病毒运行后,复制自身到系统目录% WINDIR%下,释放病毒文件,修改注册表,添加启动项,以达到随机启动的目的,连接网络,开启本地端口,下载病毒文件,修改用户QICQ密码,盗取用户的敏感信息,并使QICQ带有“QQ尾巴”,自动发送含有被挂马的网站信息,终止反病毒软件的进程,阻止杀毒软件的安装。该病毒对用户有较大危害。

行为分析:

1、病毒使用Windows图片浏览器的图标,用以迷惑用户点击运行。

2、病毒运行后,复制自身到系统目录%WINDIR%下,释放病毒文件:

%WINDIR%\niw.exe

%system32%\impai.exe

3、修改注册表,添加启动项,以达到随机启动的目的:

修改的注册表项:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command

原键值:字串:"默认"="%SystemRoot%\system32\NOTEPAD.EXE %1."

修改的键值:字串:"默认"="C:\WINDOWS\system32\impai.exe "%1""

新建注册表项:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

键值:字串:"NIW "="C:\WINDOWS\NIW.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

键值:字串:"Desktop"="C:\WINDOWS\system32\rundll32.exe"

"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347

54BB7D069AC6}\InprocServer32\

键值:字串:"默认"="C:\PROGRA~1\DESKAD~1\deskipn.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\

键值:字串:"ThreadingModel "="Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID

键值:字串:"默认"="MonitorIE.MonitorURL.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347

54BB7D069AC6}\VersionIndependentProgID

键值:字串:"默认"="MonitorIE.MonitorURL"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1\CLSID

键值:字串:"默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CLSID

键值:字串:"默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CurVer

键值:字串:"默认"="MonitorIE.MonitorURL.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32

键值:字串:"默认"="C:\Program Files\DeskAdTop\deskipn.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0

键值:字串:"默认"="MonitorIE 1.0 Type Library"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\

键值:字串:"HELPDIR"="C:\Program Files\DeskAdTop\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

键值:字串:"DownloadManager"="C:\WINDOWS\system32\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:" DisplayName "="桌面媒体"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:"SetupPath"="C:\Program Files\DeskAdTop\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:"UninstallString"="C:\Program Files\DeskAdTop\DeskUn.exe"

4、连接网络,开启本地端口,下载病毒文件:

协议:TCP

端口:随机开启本地1024以上端口,如:1124

IP地址:210.51.168.69

下载的病毒文件:

%system32%\tmdown.exe

%system32%\tmdown1.exe

%Program Files%\deskadtop\_uninstall

%Program Files%\deskadtop\allverx.dat

%Program Files%\deskadtop\deskipn.dll

%Program Files%\deskadtop\DeskUn.exe

%Program Files%\deskadtop\Mrup.exe

%Program Files%\deskadtop\Run.dll

%Program Files%\deskadtop\sinfo.ini

5、修改用户QICQ密码,盗取用户的敏感信息,并使QICQ带有“QQ尾巴”,自动发送含有被挂马的网站信息:

QQ尾巴内容为:

咱们老同学的校友录有新留言了,你看看吧!

http://www.0451m***.com/img/chianren.htm

6、终止反病毒软件的进程,阻止杀毒软件的安装。

注: % System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\ Winnt\System32,windows95/98/me中默认的安装路径是C:\Windows\System,windowsXP中默认的安装路径是C:\Windows\System32。

清除方案:

2、手工清除请按照行为分析删除对应文件,恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%\niw.exe

%system32%\impai.exe

%system32%\tmdown.exe

%system32%\tmdown1.exe

%Program Files%\deskadtop\_uninstall

%Program Files%\deskadtop\allverx.dat

%Program Files%\deskadtop\deskipn.dll

%Program Files%\deskadtop\DeskUn.exe

%Program Files%\deskadtop\Mrup.exe

%Program Files%\deskadtop\Run.dll

%Program Files%\deskadtop\sinfo.ini

(3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项

修改注册表项:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command//

键值:字串:"默认"="C:\WINDOWS\system32

\impai.exe "%1""

改为:

键值:字串:"默认"="%SystemRoot%\system32

\NOTEPAD.EXE %1."

删除以下注册表项:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

键值:字串:"NIW "="C:\WINDOWS\NIW.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

键值:字串:"Desktop"="C:\WINDOWS\system32\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\

键值:字串:"默认"="C:\PROGRA~1\DESKAD~1\deskipn.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\InprocServer32\

键值:字串:"ThreadingModel "="Apartment"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\ProgID

键值:字串:"默认"="MonitorIE.MonitorURL.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08A312BB-5409-49FC-9347-54BB7D069AC6}\VersionIndependentProgID

键值:字串:"默认"="MonitorIE.MonitorURL"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL.1\CLSID

键值:字串:"默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL

键值:字串:"默认"="MonitorURL Class"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CLSID

键值:字串:"默认"="{08A312BB-5409-49FC-9347-54BB7D069AC6}"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MonitorIE.MonitorURL\CurVer

键值:字串:"默认"="MonitorIE.MonitorURL.1"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\0\win32

键值:字串:"默认"="C:\Program Files\DeskAdTop\deskipn.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0

键值:字串:"默认"="MonitorIE 1.0 Type Library"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{647BB013-E900-473E-BC10-99CF3AC365AD}\1.0\

键值:字串:"HELPDIR"="C:\Program Files\DeskAdTop\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

键值:字串:"DownloadManager"="C:\WINDOWS\system32\rundll32.exe"C:\Program Files\DeskAdTop\Run.dll" ,Rundll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:" DisplayName "="桌面媒体"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:"SetupPath"="C:\Program Files\DeskAdTop\"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\桌面媒体

键值:字串:"UninstallString"="C:\Program Files\DeskAdTop\DeskUn.exe"

掌上泥客
进入论坛论坛热帖
非凡