Trojan.Win32.VB.ca简介_Trojan.Win32.VB.ca个人资料_Trojan.Win32.VB.ca微博_百科网
A-A+

Trojan.Win32.VB.ca简介_Trojan.Win32.VB.ca个人资料_Trojan.Win32.VB.ca微博

2018-05-22 06:04:23 自然百科 阅读 3 次

概述/Trojan.Win32.VB.ca 编辑

  病毒名称: Trojan.Win32.VB..ca
  中文名称: 三叶草
  病毒类型: 木马
  文件 MD5: 8F5517957147CC911585679F9745BAA4
  公开范围: 完全公开
  危害等级: 3
  文件长度: 81,920 字节
  感染系统: windows98以上版本
  开发工具: Microsoft Visual Basic 5.0 / 6.0
  加壳类型: 无

病毒描述/Trojan.Win32.VB.ca 编辑

  该病毒属木马类,病毒图标为卡通人物图标,用以迷惑用户点击运行。病毒运行衍生病毒文件到 %system32% 下,文件名为 haha.exe ;修改注册表,添加启动项,以达到随机启动的目的;隐藏计算机中的驱动器,隐藏当前用户开始菜单中的运行选项、查找项、文档项,隐藏部分用户的关机、 注销、隐藏 IE 工具栏选项;修改 IE 标题栏。

行为分析/Trojan.Win32.VB.ca 编辑

  1 、病毒运行后衍生病毒文件到 %system32% 下,文件名为 haha.exe
  %system32%haha.exe
  2 、修改注册表,添加启动项,以达到随机启动的目的:
  HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
  新建键值 : 字串 : "haha"="haha.exe"
  3 、隐藏计算机中的驱动器,隐藏当前用户开始菜单中的运行选项,、查找项、文档项,隐藏部分
  用户的关机、注销、隐藏 IE 工具栏选项;修改 IE 标题栏:
  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoDrives
  新建键值 : DWORD: 4294967295 (0xffffffff)
  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoFind
  新建键值 : DWORD: 1 (0x1)
  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoRecentDocsMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoRun
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoClose
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoFavoritesMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoLogOff
  新建键值 : 类型 : REG_BINARY: 01 00 00 00
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoClose
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoFavoritesMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindowsCurrentVersion
  PoliciesExplorerNoLogOff
  新建键值 : 类型 : REG_BINARY: 01 00 00 00
  4 、修改 IE 标题栏:
  HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain
  新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫所侵蚀 ,
  注: % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:WinntSystem32 , windows95/98/me 中默认的安装路径是 C:WindowsSystem , windowsXP 中默认的安装路径是 C:WindowsSystem32 。
  --------------------------------------------------------------------------------

清除方案/Trojan.Win32.VB.ca 编辑

  1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
  2 、 手工清除请按照行为分析删除对应文件,恢复相关系统设置。
  (1) 使用 安天木马防线 “进程管理”关闭病毒进程。
  (2) 删除病毒文件:
  %system32%haha.exe
  (3) 恢复病毒修改的注册表项目,删除病毒添加的注册表项:
  HKEY_CURRENT_USERSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoDrives
  新建键值 : DWORD: 4294967295 (0xffffffff)
  HKEY_CURRENT_USERSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoFind
  新建键值 : DWORD: 1 (0x1)
  HKEY_CURRENT_USERSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoRecentDocsMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_CURRENT_USERSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoRun
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoClose
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoFavoritesMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoLogOff
  新建键值 : 类型 : REG_BINARY: 01 00 00 00
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoClose
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoFavoritesMenu
  新建键值 : DWORD: 1 (0x1)
  HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
  CurrentVersionPoliciesExplorerNoLogOff
  新建键值 : 类型 : REG_BINARY: 01 00 00 00
  HKEY_LOCAL_MACHINESOFTWAREMicrosoft
  Internet ExplorerMain
  新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫