在%System32%目錄下建立文件夾inf并拷貝%System32%目錄下的rundll32.exe到inf目錄下重命名為svchost.exe ， 衍生病毒文件wftadfi16_080908a.dll、dcbdcatys32_080908a.dll（該病毒文件為查找雅虎和IE保護(hù)選項(xiàng)的窗口 ， 并按提示做出相對的回應(yīng)）到%Windir%目錄下 ， 衍生病毒文件sppdcrs080908.scr（該文件為病毒自身）、scsys16_080908.dll（該文件模擬鼠標(biāo)點(diǎn)擊操作以達(dá)到躲避病毒安全軟件的主動(dòng)提示 ， 模擬點(diǎn)擊操作為允許）到%System32%inf目錄下 ， 添加注冊表啟動(dòng)項(xiàng)目使用rundll32.exe加載病毒DLL文件 ， 并在%Windir%目錄下創(chuàng)建配置文件tawisys.ini存放衍生的病毒路徑 ， 衍生mywfhit.ini到System32目錄下mywfhit.ini文件記錄病毒更新情況 ， 病毒會不定期開啟iexploe.exe連接網(wǎng)絡(luò)下載病毒文件更新自身 。
◆“木馬下載者”：該病毒為下載者木馬 ， 病毒運(yùn)行后創(chuàng)建互斥量MICK_DOWNLOAD_MUTEX ， 目的防止多次運(yùn)行 ， 在%Windir%下創(chuàng)建目錄名為：Nt_File_Temp ， 并釋放BAT批處理文件執(zhí)行 ， 提升在%system32%dllcache文件夾、%system32%dllcacheexplorer.exe、E:NBMSClientHardwareInfo.exe（網(wǎng)維大師相關(guān)程序）、%Windir%explorer.exe文件到系統(tǒng)當(dāng)前用戶完全控制權(quán)限 ， 連接網(wǎng)絡(luò)讀取列表下載大量惡意文件 ， 下載的文件多數(shù)為盜號木馬類病毒 ， 給用戶清理帶來非常大的不便 。
二、針對以上病毒 ， 51CTO安全頻道建議廣大用戶：
1、最好安裝專業(yè)的殺毒軟件進(jìn)行全面監(jiān)控并及時(shí)升級病毒代碼庫 。建議用戶將一些主要監(jiān)控經(jīng)常打開 ， 如郵件監(jiān)控、內(nèi)存監(jiān)控等 ， 目的是防止目前盛行的病毒、木馬、有害程序或代碼等攻擊用戶計(jì)算機(jī) 。
2、請勿隨意打開郵件中的附件 ， 尤其是來歷不明的郵件 。企業(yè)級用戶可在通用的郵件服務(wù)器平臺開啟監(jiān)控系統(tǒng) ， 在郵件網(wǎng)關(guān)處攔截病毒 ， 確保郵件客戶端的安全 。
3、企業(yè)級用戶應(yīng)及時(shí)升級控制中心 ， 并建議相關(guān)管理人員在適當(dāng)時(shí)候進(jìn)行全網(wǎng)查殺病毒 。另外為保證企業(yè)信息安全 ， 應(yīng)關(guān)閉共享目錄并為管理員帳戶設(shè)置強(qiáng)口令 ， 不要將管理員口令設(shè)置為空或過于簡單的密碼 。
截至采訪人員發(fā)稿時(shí)止 ， 江民和安天實(shí)驗(yàn)室的病毒庫均已更新 ， 并能查殺上述病毒 。
推薦閱讀
- 木馬 對一款病毒程序的分析
- 防病毒之最安全打開U盤的方法
- 網(wǎng)游盜號病毒又出新變種 竊取黃易群俠傳信息
- 代理腳本病毒利用漏洞傳播病毒 下載網(wǎng)游木馬
- 利用系統(tǒng)漏洞傳播腳本病毒 偽顆粒竊取玩家信息
- 利用U盤、移動(dòng)硬盤傳播 小心文件魔頭木馬病毒
- 謹(jǐn)防竊取網(wǎng)游破天一劍Online玩家信息的木馬病毒
- 謹(jǐn)防QQ游賊木馬病毒竊取QQ帳號密碼信息
- 盜號病毒又出新變種 小心木馬病毒
- 索哈納德蠕蟲導(dǎo)致用戶計(jì)算機(jī)早上9點(diǎn)自動(dòng)運(yùn)行病毒