Win32.Troj.DNSChanger.98304 伪装升级包98304

病毒名称(中文):伪装升级包98304

病毒别名:

威胁级别:★☆☆☆☆

病毒类型:木马程序

病毒长度:25857

影响系统:Win9x\WinMe\WinNT\Win2000\WinXP\Win2003

病毒行为:

这是一个木马程序，它会读取用户系统的一些配置信息，并制造后门，连接病毒作者指定的远程服务器，等待黑客连接。

在磁盘中释放出以下文件:

C:\WINDOWS\muotr.so

C:\WINDOWS\SAMPLE.EXE

C:\WINDOWS\mainms.vpi

C:\WINDOWS\TEMP\tmp0019.tmp

C:\WINDOWS\TEMP\tmp0919.tmp

在磁盘中删除了以下文件:

C:\WINDOWS\TEMP\tmp0019.tmp

C:\WINDOWS\TEMP\tmp0919.tmp

在注册表中创建了以下信息:

"HKLM\Software\Microsoft\NetDNS\RemotedShares"

"HKLM\System\CurrentControlSet\Services\MsSecurity1.209.4"

在注册表中设置了以下信息:

"HKLM\System\CurrentControlSet\Services\MsSecurity1.209.4""ImagePath""C:\WINDOWS\SAMPLE.EXEservice"

"HKLM\System\CurrentControlSet\Services\MsSecurity1.209.4""DisplayName""MsSecurityUpdated"

会从以下注册表中读取信息:

"HKLM\Software\Microsoft\NetDNS\RemotedShares"

病毒会连接作者指定的网址:

域名:"tr-exchange.*****端口:80(IP)

tr-exchange.*****.php?uid=%I64d&gid=1&cid=NULL&rid=5&sid=16851784

在系统中创建了以下进程:

"SAMPLE.EXE"

在系统中创建了以下服务:

服务名:"MsSecurity1.209.4(MsSecurityUpdated)"

映像路径:"C:\WINDOWS\SAMPLE.EXEservice"