病毒名称:Win32.TrojanDownloader.XXX.XXX(不同反病毒系统命名可能不同)
病毒大小:31,744 字节
加壳方式:UPX
传染方式:通过恶意网站传播,通过其它病毒、木马下载
病毒分析:
1、Realplayer.exe运行后复制自身到系统目录%System%\Realplayer.exe,在%Windows%目录下生成bat批处理删除原文件:
:try
del "Realplayer.exe"
if exist "Realplayer.exe" goto try
del %0
Realplayer.exe释放%System%\brlmon.dll,尝试插入Explorer.exe进程。
2、创建启动项:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon]
"Shell"="Explorer.exe %System%\Realplayer.exe"
3、修改IE主页:
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="hxtp://
www.7939.com/"
4、设置注册表信息:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown\info]
"vvad"="0"
以上注册表信息和%System%\brlmon.dll文件大约每2秒会监视恢复。
5、终止其他进程:
fint2005.exe
Unlocker.exe
unlockerassistant.exe
HijackThis.exe
DLLShow.exe
RogueCleaner.exe
DosTools.exe
Killbox.exe
uihost.exe
6、尝试关闭杀软窗口:
瑞星注册表监控提示
主动防御 警报
AVP
7、自动连接down.Virussky.com,更新版本替换旧版本
解决方法:
1. 终止%System%\Realplayer.exe进程
2. 终止%Windows%\Explorer.exe进程
3. 通过任务管理器→新建任务→浏览系统盘,删除病毒文件:
%System%\Realplayer.exe
%System%\brlmon.dll
4. 然后在新建任务那里,运行注册表编辑器,删除病毒启动项:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
5. 删除病毒添加的注册表信息:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown]
6.恢复被修改的IE主页
7.把
www.7939.com加入黑名单或不信任网站。
另外,据说brlmon.dll已经升级变成Ravmon.dll
参考资料:http://vrhero.spaces.live.com/blog/