【导读】这是一个使用[borland c++]编写的病毒,
对流氓软件“3448”的分析流氓清理
。系统被感染后,打开ie或者其他浏览器起始页面被篡改为hxxp://wxw.3448.com/。这是一个使用[borland c++]编写的病毒。系统被感染后,打开ie或者其他浏览器起始页面被篡改为hxxp://wxw.3448.com/。
病毒通过api hook自我保护。通过其他恶意程序或者自身下载升级下载并得到执行,使用随机文件名达到屏蔽文件名清除模式。
病毒运行后有以下行为:
一、病毒通过修改注册表softwaremicrosoftwindowscurrentversion un达到开机自动运行的目的。
病毒主要通过rundll32.exe加载。
病毒还感染tencent qq的timproxy.dll文件的导入表,可以在用户启动qq的时候加载。
加载后使用消息钩子注入各进程,并根据进程名做不同的动作。
主要有:
1、hook进程api,自我保护。
2、注入在qq.exe进程中的,仅做修改注册表的动作。
3、注入在explorer.exe进程中的病毒主要做一下动作。
(1)主要破坏注册表safeboot键,导致无法进入安全模式。
(2)下载文件并通过文件类型更新,运行或者替换hosts文件,
电脑资料
《对流氓软件“3448”的分析流氓清理》(http://meiwen.anslib.com)。(3)感染tencent qq的timproxy.dll文件的导入表。
二、通过rundll32.exe加载的病毒,会把自己复制到系统目录(%systemdir%)和驱动目录(%systemdir%drivers)。
三、修改注册表以下键值:
注册表键:softwaremicrosoftinternet explorermain
数据项:"start page"
数据值为:"http://www.3448.com"
注册表键:softwaremicrosoftinternet explorersearch
数据项:"customizesearch"
数据值为:"http://www.3448.com"
注册表键:softwaremicrosoftinternet explorersearch
数据项:"searchassistant"
数据值为:"http://www.3448.com"
四、搜索进程名或者窗口文字包含以下字符串的进程,发现后关闭计算机。
关 键 字:流氓清理
相关文章:
十一种常见流氓软件完全卸载方法
稳打稳扎 驱逐系统“流氓”文件
恶意软件花招 警惕非官方版本
IT界成立小组提案惩治流氓软件
维权意识!奇虎开通恶意软件举报中心