新沂城市论坛

标题: 啊拉大盗资料 [打印本页]

作者: 沧海一箫 时间: 2005-10-9 22:26
标题: 啊拉大盗资料
病毒采用Delphi编写。

病毒运行后有以下行为：
一、将自己复制到%SYSDIR%目录下，文件名为"NTdhcp.exe"。

二、修改注册表以下键值以达到其自启动的目的：
1.HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run
增加数据项："NTdhcp" 数据值为：%SYSDIR%\NTDHCP.EXE

三、查找包含以下字符串的窗体，并将它们关闭：
"卡巴斯基反病毒单机版"
"Symantec AntiVirus 企业版"
"江民杀毒软件 KV2004：实时监视"
"RavMon.exe"
"ZoneAlarm"
"天网防火墙个人版"
"天网防火墙企业版"
"噬菌体"
"木马克星"

四、查找并结束以下进程：
"FireTray.exe"、"UpdaterUI.exe"、"TBMon.exe"、"SHSTAT.EXE"、"RAV.EXE"、"RAVMON.EXE"、"RAVTIMER.EXE"、"KVXP.KXP"、

"KVCENTER.KXP"、"Iparmor.exe"、"MAILMON.EXE"、"KAVPFW.EXE"、"KVFW.EXE"、"KVMonXP.KXP"、"KAVPLUS.EXE"、"KWATCHUI.EXE"、

"KPOPMON.EXE"、"KAV32.EXE"、"CCAPP.EXE"、"MCAGENT.EXE"、"MCVSESCN.EXE"、"MSKAGENT.EXE"、"EGHOST.EXE"、"KRegEx.exe"、

"TrojDie.kxp"、"KVOL.exe"、"kvolself.exe"

五、查看当前系统是否存在以下服务：
"RsRavMon"、"RsCCenter"、"KVSrvXP"、"kavsvc"、"wscsvc"、"SNDSrvc"、"ccProxy"、"ccEvtMgr"、"ccSetMgr"、"SPBBCSvc"、"Symantec Core LC"、"navapsvc"、"NPFMntor"、"MskService"、"McTaskManager"、"McShield"、"McAfeeFramework"
如果有，病毒将停止这些服务。（以上服务有瑞星的，江民的，诺顿的，卡巴斯基的，…………）

欢迎光临新沂城市论坛 (http://bbs.0516k.com/)