基本介紹
特徵
然後，病毒會在用戶電腦臨時資料夾中釋放安裝3個帶有“wxp2ins”字樣的惡意驅動程式，來破壞計算機的安全防護機制。最後利用惡意磁碟過濾驅動程式去覆蓋“explorer.exe”系統桌面程式，藉助該程式去實現開機自啟動，下載包括“系統殺手”“ARP殺手”“代理木馬”“機器狗”等大量木馬病毒到用戶計算機中安裝運行，給中毒電腦用戶帶來巨大危害。
“桌面幽靈”具有一整套的自我保護和反安全軟體的機制。首先，病毒會檢測自身進程是否被其它調試軟體所調試分析，如果發現自身正在被調試分析則自動關閉退出，防止病毒研究人員分析該病毒。病毒會遍歷當前計算機系統中的進程列表，如發現有“AVP.EXE”進程存在，則設定系統年份為2001年，使某款國外防毒由於時間處理錯誤的BUG，利用防毒軟體正版保護系統的設計缺陷，導致其防毒等功能失效。。病毒在被感染計算機的後台以掛起的方式調用系統“svchost.exe”進程，並將惡意可執行代碼注入到已掛起的系統“svchost.exe”進程的記憶體空間中，然後恢復掛起，使其系統“svchost.exe”進程開始執行惡意操作。注入的惡意代碼系“Trojan/AntiAV.a“系統殺手”變種a”木馬病毒進程，主要用來執行自我保護和關閉多種安全軟體，以及病毒自我升級和自動網頁掛馬等多種功能。
“桌面幽靈”在任務執行完畢後，會馬上關閉退出。在退出時，被注入惡意代碼的系統“svchost.exe”進程會刪除掉病毒所在磁碟中的檔案，使用戶無法尋找到該病毒樣本。
“桌面幽靈”運行後，會在系統檔案下釋放3個包括“wxp2ins”字樣的臨時檔案。經分析，這3個檔案分別為“ARP殺手”變種b、“ARP殺手”變種a、“代理木馬”變種aeit。“ARP殺手”變種a和b的共同特徵是使部分安全軟體的防禦系統和監控系統失效，從而達到木馬免殺和躲避監控的目的。“代理木馬”變種aeit通過惡意磁碟過濾驅動程式去破壞被感染計算機磁碟中的系統檔案，具有繞過“還原保護系統”從而破壞被感染計算機真實磁碟中系統檔案的功能，使用戶防不勝防。上述三種病毒都是屬於“桌面幽靈”惡意程式集合中的一個功能模組，伴隨著這些惡意模組，還會有很多其它惡意程式模組一起安裝到了被感染計算機用戶的系統中。如果用戶計算機感染了該類病毒，那么很難徹底清除乾淨，給染毒計算機系統的用戶帶來不同程度的損失。
