基本介紹
- 中文名：Win32.Troj.Small.ad
- 外文名：Win32.Troj.Small.ad
- 性質：木馬下載器
- 危害：修改IE主頁等，盜取用戶系統信息
- 影響系統：Win9x / WinNT
- 威脅級別：★★
表現,病毒行為,
表現
1 | 木馬提供下載器，自動連線網路自動下載病毒並運行 |
2 | 具有修改IE主頁，盜取系統用戶信息功能。 |
病毒行為
創建互斥量
Window目錄後加~a，例如C:\Windows~a，防止病毒的多個實例運行。
釋放多個檔案
%system%\<隨機檔案名稱>.dll （長度: 1572，Win32.Troj.StartPage）
創建互斥量：kjnuwae0bskfd
下載指定檔案。
%system%\<隨機檔案名稱>.dll（長度: 9366，Win32.Troj.StartPage.sc）
創建互斥量：SysMemStat_service
釋放檔案：%SystemRoot%\\system32\\favico.dat （笑臉圖示，318位元組）
下載指定檔案，可能保存為：%SystemRoot%\\system32\\memtest32.sys
%system%\<隨機檔案名稱>.dll （長度: 2699，Win32.Troj.Small.rn）
下載指定檔案。
%system%\<隨機檔案名稱>.dll （長度: 2697，Win32.Troj.Small.rn）
下載指定檔案。
%system%\<隨機檔案名稱>.dll （長度: 2698，Win32.Troj.Small.rn）
下載指定檔案。
%system%\bardsmpn.exe
<當前目錄>\<病毒檔案名稱>.dat
下載檔案成功後就運行。
嘗試停止服務“wuauserv”
修改註冊表
添加鍵值：
HKEY_CLASSES_ROOT\CLSID\<{隨機串}>
"默認"=hex:97,00,00,00,00,00,00,00,10,00,00,00,1e,a1,f0,d2,10,00,00,00,1e,a1,f0,d2,\
51,00,00,00,1e,00,00,00,10,00,00,00,61,61,73,70,62,74,64,78,00,01,00,00,00,\
10,00,00,00,72,78,7c,70,65,78,7d,69,65,7c,00,b5,00,00,00,10,00,00,00,61,70,\
44,45,41,43,65,78,00,b8,00,00,00,10,00,00,00,75,78,65,7f,75,62,00,60,00,00,\
00,10,00,00,00,63,7e,66,62,73,7a,00
修改IE設定：
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
"Start Page"="http://aaawebsearch.com/?b=xzy"
"Search Page"="http://aaawebsearch.com/?a=2&b=xzy"
"Search Bar"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
"SearchAssistant"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Main
"Start Page"="http://aaawebsearch.com/?b=xzy"
"Search Page"="http://aaawebsearch.com/?a=2&b=xzy"
"Search Bar"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\SearchUrl\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
"SearchAssistant"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_USERS\.DEFAULT\Software\Microsoft\InternetExplorer\Main
"Start Page"="http://aaawebsearch.com/?b=xzy"
"Search Page"="http://aaawebsearch.com/?a=2&b=xzy"
"Search Bar"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_USERS\.DEFAULT\Software\Microsoft\InternetExplorer\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
HKEY_USERS\.DEFAULT\Software\Microsoft\InternetExplorer\SearchUrl\
"SearchUrl"="http://aaawebsearch.com/?a=2&b=xzy"
"SearchAssistant"="http://aaawebsearch.com/?a=2&b=xzy"
在收藏夾中添加資料夾
在收藏夾中添加資料夾Free Hardcore Porn，在該資料夾添加色情網址。
