20CN网络安全小组论坛 - 病毒专区 - 转帖:警惕木马Trojan-PSW.Win32.xyj.a

论坛: 病毒专区标题: 转帖:警惕木马Trojan-PSW.Win32.xyj.a

作者: h24arb [h24arb]

论坛用户

转帖:警惕木马Trojan-PSW.Win32.xyj.a

来自安天实验室： http://www.antiy.com/index.htm

病毒标签：
病毒名称： Trojan-PSW.Win32.xyj.a
病毒类型：木马
文件 MD5： 4F779293D7A9DC8F1CF38326F05BDB4E
最早发现时间：20051115
公开范围：完全公开
危害等级：中文
件长度：　24,576 字节
感染系统： Windows 98 及以上版本
开发工具： Microsoft Visual C++ 6.0
命名对照： Symentec[无]
　　　　　 Mcafeef[无]
病毒描述：
　该病毒属木马类，病毒主要窃取网络游戏《幻想西游记》的账号及密码。病毒运行后会复制自身到%system32%systemscan.exe和%system32%winscan.exe ，病毒还会修改注册表文件中exe文件的关联，并将SystemScan.exe添加到服务。病毒尝试终止反病毒及安全软件的进程。当该木马获取用户账号和密码后便会发送邮件给病毒作者。
行为分析：
1、复制自身到系统目录下：
　%system32%systemscan.exe
　%system32%winscan.exe
2、修改注册表文件中exe文件关联：
　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\
　Old value: 字串: ""%1" %*"
　New value: 类型: "SystemScan.exe" ""%1" %*"
3、尝试结束反病毒及安全软件的进程：
　rising
　skynet
　symantec
　mcafee
　ravmon
　kill
4、该木马截取《幻想西游记》的账号、密码后便发送给病毒作者，作者邮箱可能为：　aojian@163.com
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。

清除方案：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置
(1) 恢复如下注册表中的键值：
　HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command\
　键值: 字串: ""%1" %*"
(2) 删除病毒文件
　%system32%systemscan.exe
　%system32%winscan.exe

附：
安天木马防线2005+试用版下载地址: http://www.antiy.com/product/ghostbusters/index.htm
病毒上报信箱: submit@virusview.net

木马防线2005+：
　木马防线2005+是安天实验室出品的个人信息安全产品，是木马防线2005的全新升级版，具备高效木马查杀、系统安全管理、实时网络防护等功能。
高效木马查杀　
采用高速智能检测引擎（ＳＶＥ），能够完全查杀国内外流行的6万余种木马、后门、蠕虫、间谍软件、广告软件、黑客工具、色情拨号程序等，尤其对各类未知有害程序具有极高的检出率。
系统安全管理
提供了丰富的安全管理工具，能够修复IE和注册表设置，管理系统中各项任务、进程、服务、共享资源和自启动项，监控网络的连接状态和开启的端口。
实时网络防护
全新的安天盾防火墙功能更加强大，能够实时监控您的系统和网络，随时发现活动的木马等可疑程序，并能查封指定IP地址和端口，有效拦截各类诸如"冲击波""震荡波"的扫描攻击行为。

地主发表时间: 05-12-06 11:10

论坛: 病毒专区