计算机病毒预报(2014年01月13日至2014年01月19日)
Trojan.Osipad
警惕程度★★★
影响平台:Win9X/ME/NT/2000/XP/Server2003
病毒执行体描述:
Trojan.Osipad是一个木马,它在受感染计算机上劫持web浏览器执行点击欺诈和广告显示。
木马执行时,它创建以下文件:
%Windir%GuoClient.dll
%Windir%CalcRemote.dll
%Windir%CalcEngine.dll
%Windir%npfs139.sys
%Windir%kbdmouse.sys
%Windir%C_999223.dat
%Windir%oobesvchost.exe
木马删除以下web浏览器缓存文件:
%UserProfile%ApplicationDataliebaoUserDataDefaultCache
%UserProfile%ApplicationDataBaidubrowserDiskCache
%UserProfile%ApplicationDataTaoBrowserUserDataDefaultCache
%UserProfile%ApplicationDataSogouExplorerWebkitDefaultCache
%UserProfile%ApplicationDataGoogleChromeUserDataDefaultCache
%UserProfile%ApplicationData360ChromeChromeUserDataDefaultCache
%UserProfile%ApplicationData360seie8dataTemporaryInternetFiles
%UserProfile%ApplicationData360se6UserDataDefault
然后,木马在每次windows启动时创建以下属性的服务:
DisplayName:npfs139
然后,木马连接到以下远程站点接收更新和配置文件:
http://www.osipad.com/save/[YYMMDD]UpdateCalc[OSVERSION].dll
[http://]www.qw321.com/client/client_co[REMOVED]
木马还可以从受感染计算机发送信息到以下地址:
[http://]osipad.aoyouw.com/api/client_[REMOVED]
木马还监视以下互联网浏览器:
explorer.exe、iexplore.exe、Opera.exe、Chrome.exe、Maxthon.exe、QQbrowser.exe、360Chrome.
exe、liebao.exe、360se.exe、115Chrome.exe、TaoBrowser.exe、TangoWeb.exe、Tango3.exe、Baid
uBrowser.exe、2345Explorer.exe、SogouExplorer.exe
如果上述任何程序被执行,该木马会修改浏览器的数据,以便进行点击欺诈。
该木马还会显示受感染计算机上的弹出式广告。
预防和清除:
不要点击不明网站;打开不明邮件***;定时经常更新杀毒软件病毒数据库,最好打开杀毒软件的病毒数据库自动更新
功能。关闭电脑共享功能,关闭允许远程连接电脑的功能。安装最新的系统补丁。
W32.Sality.AE
警惕程度★★★
影响平台:Win9X/ME/NT/2000/XP/Server2003
W32.Sality.AE是一个病毒,它在受感染的计算机上感染可执行文件,并试图从网络上恶意文件。
病毒执行时,它复制自身为以下文件:
%System%drivers[RANDOMNAME].sys
然后,病毒创建以下注册表项:
HKEY_CURRENT_USERSoftware[USERNAME]914
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_WMI_MFC_TPSHOKER_80
HKEY_LOCAL_MACHINESYSTEMControlSet001EnumRootLEGACY_IPFILTERDRIVER
然后,病毒创建下列注册表项,使其绕过windows防火墙:
HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesSharedAccessParametersFirewallPolicy
StandardProfileAuthorizedApplicationsList"[INFECTEDFILE]"="[INFECTEDFILE]:*:Enabl
ed:ipsec"
病毒修改下列注册表项:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionInternetSetting"GlobalUse
rOffline"="0"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem"EnableLUA"
="0"
病毒删除下列注册表项:
HKEY_CURRENT_USERSystemCurrentControlSetControlSafeBoot
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSafeBoot
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExtStats
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExtStats
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExtStats
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExtStats
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionExplorerBrowserHelperObj
ects
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowserHelperOb
jects
病毒将自身注册为以下特征的服务:
ServiceName:WMI_MFC_TPSHOKER_80
DisplayName:WMI_MFC_TPSHOKER_80
StartupType:Automatic
然后,它会删除下列文件:
%System%drivers[RANDOMNAME].sys
病毒停止以下服务:
ALG、aswUpdSv、avast!Antivirus、avast!MailScanner、avast!WebScanner、AVP、BackWebPl
ug-in–4476822、bdss、BGLiveSvc、BlackICE、CAISafe、ccEvtMgr、ccProxy、ccSetMgr、F-ProtA
ntivirusUpdateMonitor、fsbwsys、FSDFWD、F-SecureGatekeeperHandlerStarter、fshttps、F
SMA、InoRPC、InoRT、InoTask、ISSVC、KPF4、LavasoftFirewall、LIVESRV、McAfeeFramework、McShi
eld、McTaskManager、navapsvc、NOD32krn、NPFMntor、NSCService、OutpostFirewall、ainmodul
e、OutpostFirewall、PAVFIRES、PAVFNSVR、PavProt、PavPrSrv、PAVSRV、PcCtlCom、PersonalFirewal、
PREVSRV、ProtoPortFirewall、ervice、PSIMSVC、RapApp、SmcService、SNDSrvc、SPBBCSvc、Syman
tecCoreLC、Tmntsrv、TmPfw、tmproxy、UmxAgent、UmxCfg、UmxLU、UmxPol、vsmon、VSSERV、Webro
otDesktopFirewallDataService、WebrootFirewall、XCOMM
病毒感染下面注册表项中所列的所有可执行文件:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsShellNoRoamMUICache
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
病毒也感染所有C盘和网络驱动器文件夹中的所有exe和scr文件,除了包含以下字符串:
SYSTEM、AHEAD
被感染的文件大小会增加57344字节。
病毒删除文件名包含以下字符的所有文件:
.VDB、.AVC、.KEY、drw、_AVPM、A2GUARD、AAVSHIELD、AVAST、ADVCHK、AHNSD、AIRDEFENSE、ALERTS
VC、ALMON、ALOGSERV、ALSVC、AMON、ANTI-TROJAN、AVZ、ANTIVIR、ANTS、APVXDWIN、ARMOR2NET、AS
HAVAST、ASHDISP、ASHENHCD、ASHMAISV、ASHPOPWZ、ASHSERV、ASHSIMPL、ASHSKPCK、ASHWEBSV、ASW
UPDSV、ATCON、ATUPDATER、ATWATCH、AUPDATE、AUTODOWN、AUTOTRACE、AUTOUPDATE、AVCIMAN、AVCON
SOL、AVENGINE、AVGAMSVR、AVGCC、AVGCC32、AVGCTRL、AVGEMC、AVGFWSRV、AVGNT、AVGNTDD、AVGNTM
GR、AVGSERV、AVGUARD、AVGUPSVC、AVINITNT、AVKSERV、AVKSERVICE、AVKWCTL、AVP、AVP32、AVPCC、
AVPM、AVPUPD、AVSCHED32、AVSYNMGR、AVWUPD32、AVWUPSRV、AVXMONITOR9X、AVXMONITORNT、AVXQUAR、
BACKWEB-4476822、BDMCON、BDNEWS、BDOESRV、BDSS、BDSUBMIT、BDSWITCH、BLACKD、BLACKICE、CAFIX、
CCAPP、CCEVTMGR、CCPROXY、CCSETMGR、CFIAUDIT、CLAMTRAY、CLAMWIN、CLAW95、CLAW95CF、CLEANER、
CLEANER3、CLISVC、CMGRDIAN、CUREIT、DEFWATCH、DOORS、DRVIRUS、DRWADINS、DRWEB32W、DRWEBSCD、
DRWEBUPW、ESCANH95、ESCANHNT、EWIDOCTRL、EZANTIVIRUSREGISTRATIONCHECK、F-AGNT95、FAMEH32、
FAST、FCH32、FILEMON、FIRESVC、FIRETRAY、FIREWALL、FPAVUPDM、F-PROT95、FRESHCLAM、FRW、FSAV
32、FSAVGUI、FSBWSYS、F-SCHED、FSDFWD、FSGK32、FSGK32ST、FSGUIEXE、FSM32、FSMA32、FSMB32、F
SPEX.、FSSM32、F-STOPW、GCASDTSERV、GCASSERV、GIANTANTISPYWAREMAIN、GIANTANTISPYWAREUPDATE
R、GUARDGUI、GUARDNT、HREGMON、HRRES、HSOCKPE、HUPDATE、IAMAPP、IAMSERV、ICLOAD95、ICLOADNT、
ICMON、ICSSUPPNT、ICSUPP95、ICSUPPNT、IFACE、INETUPD、INOCIT、INORPC、INORT、INOTASK、INOUP
TNG、IOMON98、ISAFE、ISATRAY、ISRV95、ISSVC、KAV、KAVMM、KAVPF、KAVPFW、KAVSTART、KAVSVC、KA
VSVCUI、KMAILMON、KPFWSVC、KWATCH、LOCKDOWN2000、LOGWATNT、LUALL、LUCOMSERVER、LUUPDATE、MC
AGENT、MCMNHDLR、MCREGWIZ、MCUPDATE、MCVSSHLD、MINILOG、MYAGTSVC、MYAGTTRY、NAVAPSVC、NAVAP
W32、NAVLU32、NAVW32、NOD32、NEOWATCHLOG、NEOWATCHTRAY、NISSERV、NISUM、NMAIN、NOD32、NORMI
ST、NOTSTART、NPAVTRAY、NPFMNTOR、NPFMSG、NPROTECT、NSCHED32、NSMDTR、NSSSERV、NSSTRAY、NTR
TSCAN、NTXCONFIG、NUPGRADE、NVC95、NVCOD、NVCTE、NVCUT、NWSERVICE、OFCPFWSVC、OUTPOST、PAV、
PAVFIRES、PAVFNSVR、PAVKRE、PAVPROT、PAVPROXY、PAVPRSRV、PAVSRV51、PAVSS、PCCGUIDE、PCCIOMO
N、PCCNTMON、PCCPFW、PCCTLCOM、PCTAV、PERSFW、PERTSK、PERVAC、PNMSRV、POP3TRAP、POPROXY、PR
EVSRV、PSIMSVC、QHM32、QHONLINE、QHONSVC、QHPF、QHWSCSVC、RAVMON、RAVTIMER、REALMON、REALMO
N95、RFWMAIN、RTVSCAN、RTVSCN95、RULAUNCH、SAVADMINSERVICE、SAVMAIN、SAVPROGRESS、SAVSCAN、
SCAN32、SCANNINGPROCESS、CUREIT、SDHELP、SHSTAT、SITECLI、SPBBCSVC、SPHINX、SPIDERML、SPID
ERNT、SPIDERUI、SPYBOTSD、SPYXX、SS3EDIT、STOPSIGNAV、SWAGENT、SWDOCTOR、SWNETSUP、SYMLCSVC、
SYMPROXYSVC、SYMSPORT、SYMWSC、SYNMGR、TAUMON、TBMON、TC、TCA、TCM、TDS-3、TEATIMER、TFAK、
THAV、THSM、TMAS、TMLISTEN、TMNTSRV、TMPFW、TMPROXY、TNBUTIL、TRJSCAN、UP2DATE、VBA32ECM、V
BA32IFS、VBA32LDR、VBA32PP3、VBSNTW、VCHK、VCRMON、VETTRAY、VIRUSKEEPER、VPTRAY、VRFWSVC、V
RMONNT、VRMONSVC、VRRW32、VSECOMR、VSHWIN32、VSMON、VSSERV、VSSTAT、WATCHDOG、WEBPROXY、WE
BSCANX、WEBTRAP、WGFE95、WINAW32、WINROUTE、WINSS、WINSSNOTIFY、WRADMIN、WRCTRL、XCOMMSVR、
ZATUTOR、ZAUINST、ZLCLIENT、ZONEALARM
然后,木马可以连接到以下远程站点并可能其他恶意文件:
[http://]pedmeo222nb.info
[http://]pzrk.ru
[http://]technican.w.interia.pl
[http://]www.kjwre9fqwieluoi.info
[http://]bpowqbvcfds677.info
[http://]bmakemegood24.com
[http://]bperfectchoice1.com
[http://]bcash-ddt.net
[http://]bddr-cash.net
[http://]btrn-cash.net
[http://]bmoney-frn.net
[http://]bclr-cash.net
[http://]bxxxl-cash.net
[http://]balsfhkewo7i487fksd.info
[http://]buynvf96.info
[http://]89.119.67.154/tes[REMOVED]
[http://]oceaninfo.co.kr/picas[REMOVED]
[http://]kukutrustnet777.info/home[REMOVED]
[http://]kukutrustnet888.info/home[REMOVED]
[http://]kukutrustnet987.info/home[REMOVED]
[http://]kukutrustnet777.info
[http://]www.kjwre9fqwieluoi.info
[http://]kjwre77638dfqwieuoi.info
病毒阻止访问包含以下字符的域:
Cureit、Drweb、Onlinescan、Spywareinfo、Ewido、Virusscan、Windowsecurity、Spywareguide、Bi
tdefender、Pandasoftware、Agnmitum、Virustotal、Sophos、TrendMicro、Etrust.com、Symantec、
McAfee、F-Secure、Eset.com、Kaspersky
病毒以以下格式复制到连接到计算机的可移动驱动器中:
%DriveLetter%:[RANDOMNAME].exe
%DriveLetter%:[RANDOMNAME].cmd
%DriveLetter%:[RANDOMNAME].pif
病毒还在可移动驱动器中创建下列文件,使得可移动驱动器每次连接任何计算机时运行病毒:
%DriveLetter%:autorun.inf
预防和清除:
不要点击不明网站;打开不明邮件***;定时经常更新杀毒软件病毒数据库,最好打开杀毒软件的病毒数据库自动更新
功能。关闭电脑共享功能,关闭允许远程连接电脑的功能。安装最新的系统补丁。