20CN网络安全小组论坛 - 病毒专区

论坛: 病毒专区标题: Win32.Troj.MirHello.36028

复制本贴地址

作者: t1h2f3 [t1h2f3]

论坛用户

我杀不掉，请问该怎么办

地主发表时间: 04-01-31 14:15

回复: fqjpower [fqjpower]

论坛用户

　　这是一个盗号木马程序，名字为“传奇密码盗”( Win32.Troj.MirHello) 你所感染的是其中的一种。这个木马和其它的盗号木马一样，也是通过安装者自定接收邮箱，然后恶意安装在其它的电脑中或是诱骗它人运行该木马。木马盗得密码后会发送到指定的邮箱。“传奇密码盗”的特别之处在于：它安装在系统中的的复本名字是随机的，不易发现；它为了能获得更多的生存时间，会自动停止系统中的反病毒软件。这类恶意的盗号木马会让用户遭受直接或简接的经济损失，还会使系统出现不稳定的现象。
该木马的技术特点：
　　1、复制病毒体到%System%中，文件名为任意;
　　2、释放一个同名的DLL文件到%System%目录中。
　　3、在注册表的主键:
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 中添加如下键值为:"Windows Media SP.2.7.7" = "%System%\%木马名%.exe"　
　　HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加如下键值为: "Windows Media SP.2.7.7" = "%System%\%木马名%.exe"以便病毒会随机自启动。
　　4、会自动关闭系统中的反病毒软件。
　　5、该木马会试图偷传奇等游戏的密码,发送到指定的信箱中。
手工解决方法：
　　1、该木马使用随机程序名，不易手工清除，建议将您的反病毒软件升级到最新版本进行查杀。
　　2、打开注册表文件，手工删除如下键值：
　　HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加如下键值为: "Windows Media SP.2.7.7" = "%System%\%木马名%.exe"　
　　HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run中添加如下键值为: "Windows Media SP.2.7.7" = "%System%\%木马名%.exe"　
　　3、在系统中查找木马文件（文件名称为注册表中所显示的文件名），删除system.dll文件，在删除system.dll文件前，先将此文件备份，再从未感染的机器中拷贝并覆盖此文件！

安全建议：
　　1、随时打开并更新病毒防火墙，打上系统的最新补丁。防止病毒或木马利用系统漏洞进行传播感染。
　　2、不随意打开陌生人的邮件。现在的病毒不再只是通过计算机来传播，病毒制作者会利用人们好奇的心理来骗取自己激活的机会，如“911”蠕虫病毒，就是利用人们对“911”事件的关注心态，来骗取用户打开邮件，从而使用病毒获得激活进会。大量的木马和黑客程序都会以这种方式来获得运行权。

[此贴被如风(fqjpower) 在 01月31日15时43分编辑过]

[此贴被如风(fqjpower) 在 01月31日15时44分编辑过]

B1层发表时间: 04-01-31 15:42

论坛: 病毒专区