金豬病毒

金豬病毒特徵2007-02-02 09:071:拷貝文件

病毒運行后，會把自己拷貝到

C:\WINDOWS\System32\Drivers\spoclsv.exe

病毒會添加自啟動項：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare ->

C:\WINDOWS\System32\Drivers\spoclsv.exe

a:每隔1秒尋找桌面窗口，並關閉窗口標題中含有以下字元的程序：

QQKav、QQAV、防火牆、進程、VirusScan、網鏢、殺毒、毒霸、瑞星、江民、黃山IE、超級兔子、優化大師、木馬剋星、木馬清道夫、QQ病毒、註冊表編輯器、系統配置實用程序、卡巴斯基反病毒、Symantec AntiVirus、Duba、esteem proces、綠鷹PC、密碼防盜、噬菌體、木馬輔助查找器、System Safety Monitor、Wrapped gift Killer、Winsock Expert、遊戲木馬檢測大師、msctls_statusbar32、pjf(ustc)、IceSword

並使用的鍵盤映射的方法關閉安全軟體IceSword

添加註冊表使自己自啟動 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run svcshare -> C:\WINDOWS\System32\Drivers\spoclsv.exe

並中止系統中以下的進程:

Mcshield.exe、VsTskMgr.exe、naPrdMgr.exe、UpdaterUI.exe、TBMon.exe、scan32.exe、Ravmond.exe、CCenter.exe、RavTask.exe、Rav.exe、Ravmon.exe、RavmonD.exe、RavStub.exe、KVXP.kxp、kvMonXP.kxp、KVCenter.kxp、KVSrvXP.exe、KRegEx.exe、UIHost.exe、TrojDie.kxp、FrogAgent.exe、Logo1_.exe、Logo_1.exe、Rundl132.exe

b:每隔18秒點擊病毒作者指定的網頁，並用命令行檢查系統中是否存在共享，共存在的話就運行net share命令關閉admin$共享

c:每隔10秒下載病毒作者指定的文件，並用命令行檢查系統中是否存在共享，共存在的話就運行net share命令關閉admin$共享

d:每隔6秒刪除安全軟體在註冊表中的鍵值

並修改以下值不顯示隱藏文件 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL CheckedValue -> 0x00

刪除以下服務:

navapsvc、wscsvc、KPfwSvc、SNDSrvc、ccProxy、ccEvtMgr、ccSetMgr、SPBBCSvc、Symantec Core LC、NPFMntor MskService、FireSvc

e:感染文件

病毒會感染擴展名為exe,pif,com,src的文件，把自己附加到文件的頭部，並在擴展名為htm,html, asp,php,jsp,aspx的文件中添加一網址，用戶一但打開了該文件，IE就會不斷的在後台點擊寫入的網址，達到增加點擊量的目的，但病毒不會感染以下文件夾名中的文件：

WINDOW、Winnt、System Volume Information、Recycled、Windows NT、WindowsUpdate、Windows Media Player、Outlook Express、Internet Explorer、NetMeeting、Common Files、ComPlus Applications、Messenger、InstallShield Installation Information、MSN、Microsoft Frontpage、Movie Maker、MSN Gamin Zone

g:刪除文件

病毒會刪除擴展名為gho的文件，該文件是一系統備份工具GHOST的備份文件使用戶的系統備份文件丟失。