瑞星升级报告：18.06.42版新增203个可查杀病毒

来源：瑞星公司作者：出处：巧巧读书 2005-12-25 进入讨论组

18.06.42版新增203个可查杀病毒，主要包括： WINDOWS下的PE病毒(200)；普通文件病毒(3)；

WINDOWS下的PE病毒(200)

1.Trojan.PSW.QQRobber.fg
破坏方法：木马程序，偷取QQ号及密码。

木马运行后有以下行为：
一、文件方面
将自己复制到%SYSTEM32%下，名为NTdhcp.exe，并将属性设为系统文件。同时又生成名为：Deleteme.bat的批处理文件删除原文件。

二、注册表方面
1、增加HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Windows\
CurrentVersion\Run:NTdhcp = %SYSDIR%\NTdhcp.exe实现开机启动。
2、将以下服务的启动类型设置为“禁用”，主要目的是使这些反病毒以及防火墙软件无法正常工作。
   HKLM\SYSTEM\CurrentControlSet\Services\navapsvc
   HKLM\SYSTEM\CurrentControlSet\Services\RsRavMon
   HKLM\SYSTEM\CurrentControlSet\Services\RsCCenter
   HKLM\SYSTEM\CurrentControlSet\Services\kavsvc
   HKLM\SYSTEM\CurrentControlSet\Services\KVSrvXP
   HKLM\SYSTEM\CurrentControlSet\Services\wscsvc
   HKLM\SYSTEM\CurrentControlSet\Services\KPfwSvc
   HKLM\SYSTEM\CurrentControlSet\Services\KWatchSvc
   HKLM\SYSTEM\CurrentControlSet\Services\SNDSrvc
   HKLM\SYSTEM\CurrentControlSet\Services\ccProxy
   HKLM\SYSTEM\CurrentControlSet\Services\ccEvtMgr
   HKLM\SYSTEM\CurrentControlSet\Services\ccSetMgr
   HKLM\SYSTEM\CurrentControlSet\Services\SPBBCSvc
   HKLM\SYSTEM\CurrentControlSet\Services\Symantec Core LC
   HKLM\SYSTEM\CurrentControlSet\Services\NPFMntor
   HKLM\SYSTEM\CurrentControlSet\Services\MskService
   HKLM\SYSTEM\CurrentControlSet\Services\FireSvc
   HKLM\SYSTEM\CurrentControlSet\Services\McShield
   HKLM\SYSTEM\CurrentControlSet\Services\McTaskManager
   HKLM\SYSTEM\CurrentControlSet\Services\McAfeeFramework

三、自保护
除了将反病毒以及防火墙软件的服务禁用外，还实时监视并主动停止安全软件的服务、结束安全软件的进程，这些软件包括瑞星，Symantec，McAfee，卡巴斯基等厂商的安全软件。同时还能破坏还原精灵的保护。

四、隐私窃取
首先将QQ的密码框保护去除，接着给QQ挂上消息钩子，搜索敏感的文本框，截取QQ号以及密码，最后将信息通过电子邮件发送到设置好的电子邮箱中。

2.Trojan.DL.Sooe.a
破坏方法：这是一个下载器
这个病毒采用“Visual C++”编写

病毒运行后会有以下行为：
一、复制自己到%system%目录名称为“svchost.exe”，复制自己到%system%\drivers\inf\目录名称为“soconfig.exe”。

二、修改注册表“HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\
CurrentVersion\policies\Explorer\Run”增加“SystemRunOn”键达到自启动目的。

三、病毒运行后会连接到“http://www.s**e.**/we*****ter/Run***entLog.asp”检查更新。

四、病毒运行后会从“ftp://******:**********noWl1z@web.****.com/”下载文件。

五、病毒会点击广告网页“http://www.s**e.**/sh****ut/sh****ut.***”。

3.Trojan.DL.EliRT.a
破坏方法：下载器
这是一个Delphi编写的下载器。
病毒运行后会释放一个动态库，并把该动态库注入iexplore.exe或者explorer.exe进程，穿越防火墙完成下载功能。

4.Trojan.DL.Small.buq
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

5.Trojan.DL.Small.bur
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

6.Trojan.DL.Small.bus
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

7.Trojan.DL.Small.but
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

8.Trojan.DL.Small.buu
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

9.Trojan.DL.Small.buv
破坏方法：下载器。释放一个动态库并以后台无窗口方式启动IE，将动态库注入IE，隐秘地从网络上下载文件到本地计算机并且试图运行。

10.Backdoor.Gpigeon.abr
破坏方法：灰鸽子后门
这是一个Delphi编写的后门病毒
病毒运行后，会启动iexplore.exe进程，并替换其进程空间为病毒程序。

11.Backdoor.SdBot.his
破坏方法：SdBot变种。集黑客，蠕虫，后门功能于一体。通过局域网共享目录和利用系统漏洞进行传播。

12.Trojan.DL.Zlob.bh
破坏方法：下载器。释放一个动态库,隐秘地从网络上下载文件到本地计算机并且试图运行。

13.Backdoor.Gpigeon.uju
破坏方法：“灰鸽子”后门，能让远程计算机控制本地计算机。

14.Backdoor.Gpigeon.ujv
破坏方法：“灰鸽子”后门，能让远程计算机控制本地计算机。

15.Trojan.PSW.Lineage.ey
破坏方法：这是一个盗取韩服天堂帐号及密码的木马病毒

16.Trojan.PSW.DaFox.v
破坏方法：这是一个盗取梦幻西游帐号及密码的木马

17.Trojan.PSW.LMir.ajn
破坏方法：这是一个盗取传奇帐号及密码的木马

18.Trojan.PSW.LMir.ajm
破坏方法：这是一个盗取传奇帐号及密码的木马

19.Trojan.PSW.LMir.ajo
破坏方法：这是一个盗取传奇帐号及密码的木马

20.Trojan.PSW.LMir.ajk
破坏方法：这是一个偷传奇密码的木马病毒

21.Trojan.PSW.LMir.ajl
破坏方法：这是一个偷传奇密码的木马病毒

22.Trojan.Spy.KeySpy.a
破坏方法：这是一个记录键盘的间谍木马

23.Trojan.Clicker.VB.o
破坏方法：广告点击器，疯狂打开网页

24.Backdoor.IRCBot.nb
破坏方法：这是一个后门病毒

25.AdWare.Sooe.b
破坏方法：这是一个流氓软件

26.Dropper.Agent.w
破坏方法：运行后会释放文件

27.Backdoor.BlackHole.2005.o
破坏方法：这是一个后门病毒

28.Backdoor.Gpigeon.abq
破坏方法：灰鸽子后门

29.Backdoor.Gpigeon.abp
破坏方法：灰鸽子后门

30.Trojan.QQ.Boker.gf
破坏方法：QQ尾巴病毒

31.Trojan.DL.Delf.bx

32.Backdoor.Small.by

33.Trojan.QQ.Boker.gc

34.Backdoor.Robobot.lj

35.Trojan.StartPage.et

36.Trojan.Dialer.bd

37.Backdoor.Prorat.g

38.Worm.Mail.Bagle.eh

39.Backdoor.SdBot.hgf

40.Backdoor.SdBot.hgg

41.Backdoor.SdBot.hgh

42.Backdoor.SdBot.hgi

43.Backdoor.SdBot.hgj

44.Backdoor.SdBot.hgk

45.Backdoor.SdBot.hgl

46.Backdoor.SdBot.hgm

47.Backdoor.SdBot.hgn

48.Backdoor.SdBot.hgo

49.Backdoor.SdBot.hgp

50.Backdoor.SdBot.hgq

51.Backdoor.SdBot.hgr

52.Backdoor.SdBot.hgs

53.Backdoor.SdBot.hgt

54.Backdoor.SdBot.hgu

55.Backdoor.SdBot.hgv

56.Backdoor.SdBot.hgw

57.Backdoor.SdBot.hgx

58.Backdoor.SdBot.hgy

59.Backdoor.SdBot.hgz

60.Backdoor.SdBot.hha

61.Backdoor.SdBot.hhb

62.Backdoor.SdBot.hhc

63.Backdoor.SdBot.hhd

64.Backdoor.SdBot.hhe

65.Backdoor.SdBot.hhf

66.Backdoor.SdBot.hhg

67.Backdoor.SdBot.hhh

68.Backdoor.SdBot.hhi

69.Backdoor.SdBot.hhj

70.Backdoor.SdBot.hhk

71.Backdoor.SdBot.hhl

72.Backdoor.SdBot.hhm

73.Backdoor.SpyBoter.acd

74.Backdoor.SpyBoter.ace

75.Backdoor.SpyBoter.acf

76.Backdoor.SpyBoter.ach

77.Backdoor.Wootbot.aab

78.Backdoor.Wootbot.aac

79.Backdoor.Wootbot.aad

80.Backdoor.Wootbot.aae

81.Backdoor.Wootbot.aaf

82.Backdoor.Wootbot.aag

83.Backdoor.Wootbot.aah

84.Backdoor.Wootbot.aai

85.Backdoor.Wootbot.aaj

86.Backdoor.Wootbot.aak

87.Backdoor.Wootbot.aal

88.Backdoor.Wootbot.aam

89.Backdoor.Wootbot.aan

90.Backdoor.Wootbot.aao

91.Backdoor.Wootbot.aap

92.Backdoor.Wootbot.aaq

93.Backdoor.Wootbot.aar

94.Backdoor.Wootbot.aas

95.Backdoor.Wootbot.aat

96.Backdoor.Wootbot.aau

97.Backdoor.Wootbot.aav

98.Worm.Mail.Bofra.a

99.Worm.Mail.Mydoom.r

100.Worm.IM.Kelvir.bl

101.Worm.IM.Kelvir.bm

102.Worm.IM.Opanki.aq

103.Worm.AllocUp.r

104.Worm.Bobic.bu

105.Worm.Bobic.bv

106.Worm.Bobic.bw

107.Worm.Bobic.bx

108.Worm.Bobic.by

109.Worm.Bobic.bz

110.Worm.Bobic.ca

111.Worm.Bobic.cb

112.Worm.Bobic.cc

113.Worm.Bobic.cd

114.Worm.Bobic.ce

115.Worm.Kibuv.d

116.Worm.Lebreat.h

117.Worm.Maslan.ae

118.Worm.Mytob.qs

119.Worm.Mytob.qt

120.Worm.Mytob.qu

121.Worm.P2P.SpyBot.ka

122.Worm.P2P.SpyBot.kb

123.Worm.P2P.SpyBot.kc

124.Worm.P2P.SpyBot.kd

125.Worm.P2P.SpyBot.ke

126.Worm.P2P.SpyBot.kf

127.Worm.P2P.SpyBot.kg

128.Worm.P2P.SpyBot.kh

129.Worm.P2P.SpyBot.ki

130.Worm.P2P.SpyBot.kj

131.Worm.P2P.SpyBot.kk

132.Worm.P2P.SpyBot.kl

133.Worm.P2P.SpyBot.km

134.Worm.P2P.SpyBot.kn

135.Worm.P2P.SpyBot.ko

136.Worm.P2P.SpyBot.kp

137.Worm.P2P.SpyBot.kq

138.Worm.P2P.SpyBot.kr

139.Worm.P2P.SpyBot.ks

140.Worm.P2P.SpyBot.kt

141.Worm.P2P.SpyBot.ku

142.Worm.P2P.SpyBot.kv

143.Worm.P2P.SpyBot.kw

144.Worm.P2P.SpyBot.kx

145.Worm.P2P.SpyBot.ky

146.Worm.P2P.SpyBot.kz

147.Worm.P2P.SpyBot.la

148.Worm.P2P.SpyBot.lb

149.Worm.P2P.SpyBot.lc

150.Worm.P2P.SpyBot.ld

151.Worm.P2P.SpyBot.le

152.Worm.P2P.SpyBot.lf

153.Worm.P2P.SpyBot.lg

154.Worm.P2P.SpyBot.lh

155.Worm.P2P.SpyBot.li

156.Worm.P2P.SpyBot.lj

157.Worm.P2P.SpyBot.lk

158.Worm.P2P.SpyBot.ll

159.Worm.P2P.SpyBot.lm

160.Worm.P2P.SpyBot.ln

161.Worm.P2P.SpyBot.lo

162.Worm.P2P.SpyBot.lp

163.Worm.P2P.SpyBot.lq

164.Worm.P2P.SpyBot.lr

165.Worm.P2P.SpyBot.ls

166.Worm.P2P.SpyBot.lt

167.Worm.P2P.SpyBot.lu

168.Worm.P2P.SpyBot.lv

169.Worm.P2P.SpyBot.lw

170.Worm.P2P.SpyBot.lx

171.Worm.P2P.SpyBot.ly

172.Worm.P2P.SpyBot.lz

173.Worm.P2P.SpyBot.ma

174.Worm.P2P.SpyBot.mb

175.Worm.P2P.SpyBot.mc

176.Worm.P2P.SpyBot.md

177.Worm.P2P.SpyBot.me

178.Worm.P2P.SpyBot.mf

179.Worm.P2P.SpyBot.mg

180.Worm.P2P.SpyBot.mh

181.Worm.P2P.SpyBot.mi

182.Worm.P2P.SpyBot.mj

183.Worm.P2P.SpyBot.mk

184.Worm.P2P.SpyBot.ml

185.Worm.P2P.SpyBot.mm

186.Worm.P2P.SpyBot.mn

187.Worm.P2P.SpyBot.mo

188.Worm.P2P.SpyBot.mp

189.Worm.P2P.SpyBot.mq

190.Worm.P2P.SpyBot.mr

191.Worm.P2P.SpyBot.ms

192.Worm.P2P.SpyBot.mt

193.Worm.P2P.SpyBot.mu

194.Worm.P2P.SpyBot.mv

195.Worm.P2P.SpyBot.mw

196.Worm.P2P.SpyBot.mx

197.Worm.P2P.SpyBot.my

198.Worm.P2P.SpyBot.mz

199.Worm.P2P.SpyBot.na

200.Worm.P2P.SpyBot.nb

普通文件病毒(3)

201.Virus.Win32.HidDra
破坏方法：感染型病毒

.判断文件偏移0x610处是否为“Ijeefo!Esbhpo!wjsvt/!Cpso!jo!b!uspqjdbm!txbnq/”
该字符串被加密，原字符串应为“Hidden Dragon virus. Born in a tropical swamp.”
如是则已被感染病毒。
2.创建一个名为“Global\PowerManagerMutant”的互斥量
3.把文件属性设为系统、隐藏
4.复制自身到%SystemRoot%\svchost.exe并运行
5.把当前进程注册为服务
6.向注册表HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunServices
添加PowerManager＝%SystemRoot%svchost.exe
7.向系统注册一个服务
ServiceName＝PowerManager
DisplayName＝PowerManager
StartType＝SERVICE_AUTO_START
ImagePathName＝%SystemRoot%\svchost
说明＝Manages the power save features of the computer.

202.Trojan.Spy.PStore.a
破坏方法：这是一个可以盗取帐号及密码的间谍木马。

这是一个用Delphi编写的木马病毒。
这个病毒利用了微软的PStore（PStore的全称为：Protected Storage）。这个功能使病毒可以获得以下隐密的信息：
1、Outlook的帐号及密码
2、删除的Outlook的帐号及密码
3、IE 密码保存站点密码
4、MSN的登陆密码
5、IE自动保存的密码
……
这些信息都会被提交到“http://********.xh***.**/eg.***?acti********log=”。

203.Trojan.QQ.Boker.gg
破坏方法：QQ尾巴病毒