regedit32.exe

該樣本是使用“C語言”編寫的木馬程式，長度為663,553位元組， 採用 “ exe”擴展名，通過網頁木馬、下載器下載、等方式進行傳播。 用戶中毒後，會出現計算機及網路運行緩慢，異常網路訪問等現象。

基本介紹

• 中文名：regedit32.exe
• 長度：663553位元組
• 擴展名：exe
• 類型：木馬程式
• 傳播途徑：網頁掛馬、檔案捆綁、下載器下載

感染對象

Windows 2000/Windows XP/Windows 2003/Windows Vista

傳播途徑

網頁掛馬、檔案捆綁、下載器下載

病毒分析

1.病毒運行釋放檔案%SystemDriver%\1.exe並執行，退出當前進程，自我刪除。

2.檢查自身所在模組是否為svchost.exe或者regedit32.exe。

3.如果不是，拷貝自己為%SystemRoot%\system32\regedit32.exe並執行此檔案，推出當前進程，自我刪除

4.regedit32.exe執行後，創建名稱為"BackGround Switch"的服務，服務啟動後，每隔10s，查找可移動磁碟，寫入autorun.inf，並將自己拷貝到移動磁碟根目錄。

5.注入svchost.exe進程，連線黑客主機並下載木馬程式到本地執行。

病毒創建檔案：

%SystemDriver%\1.exe

%SystemRoot%\system32\regedit32.exe

病毒刪除檔案：

%SystemDriver%\1.exe

病毒創建註冊表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ BackGround Switch

解決辦法

1、手動刪除以下檔案：

%SystemRoot%\system32\regedit32.exe

2、手動刪除以下註冊表：

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ BackGround Switch

變數聲明：

%SystemDriver%　系統所在分區，通常為“C:\”

%SystemRoot%　WINDODWS所在目錄，通常為“C:\Windows”

%Documents and Settings%　用戶文檔目錄，通常為“C:\Documents and Settings”

%Temp%　臨時資料夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”

%ProgramFiles%　系統程式默認安裝目錄，通常為：“C:\ProgramFiles”