释放档案

C:\WINDOWS\system\logo_1.exe

C:\WINDOWS\system\SYSTEM32.vxd

C:\WINDOWS\system\SYSTEM32.dat

每个盘根目录下生成

X:\go.exe

X:\autorun.inf

写入注册表

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]

"ntaskldr"="C:\WINDOWS\system\logo_1.exe"

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ntaskldr"="C:\WINDOWS\system\logo_1.exe"

最噁心的部分介绍下..

logo_1.exe 运行后 调用 cmd.exe 执行命令 cmd.exe /c dir X:\*.exe /s /b >>C:\WINDOWS\system\SYSTEM32.vxd.dat

X为某个盘..

运行命令后感染X盘里的所有 .exe 档案...

感染后还会释放一个同名档案后辍为 .exe.tmp

system volume information

recycled

这俩个资料夹内的.exe档案..感染后释放的同名档案后辍为 .exe.dat

如果中毒的电脑打开 我的电脑 时.. logo_1.exe 会连网下载⒏个木马程式..

分别为:

C:\WINDOWS\system\jwm.exe

C:\WINDOWS\system\mhh.exe

C:\WINDOWS\system\ztd.exe

C:\WINDOWS\system\mir.exe

C:\WINDOWS\system\wo3.exe

C:\WINDOWS\system\ienet.exe

C:\WINDOWS\system\wol.exe

C:\WINDOWS\system\wll.exe

被感染的档案..头部写入: 19,738 位元组 尾部写入:5 位元组

地址=00407F80

反彙编=MOV EDX,2_.0040847C

文本字串=瑞星 卡巴 金山 诺盾 爱老虎油！！！！！！

作者留下的..

作者：mopery

1. 防毒前关闭系统还原(Win2000系统可以忽略）：右键 我的电脑 ，属性，系统还原，在所有驱动器上关闭系统还原 打勾即可。