科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道Logo1.exe 及runld132.exe清除

Logo1.exe 及runld132.exe清除

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

这是一个通过共享传播的蠕虫病毒。该病毒运行后除了会在系统目录中释放多个木马病毒,还会在除系统盘以为的其他所有磁盘根目录下释放木马病毒和自运行脚本,只要进入该磁盘,病毒就会运行。

作者:论坛整理 来源:zdnet网络安全 2007年12月12日

关键字: logo1.exe专杀工具 logo1.exe logo1.exe专杀 logo1.exe病毒 logo1.exe进程

  • 评论
  • 分享微博
  • 分享邮件

威胁级别:★

中文名称: 病毒类型:蠕虫 影响系统:Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

这是一个通过共享传播的蠕虫病毒。该病毒运行后除了会在系统目录中释放多个木马病毒,还会在除系统盘以为的其他所有磁盘根目录下释放木马病毒和自运行脚本,只要进入该磁盘,病毒就会运行。同时病毒还会修改大量的文件关联,使得用户每次打开这些文件的时候病毒就得到了运行。该蠕虫病毒是通过网络共享传播的,它会将自己拷贝到局域网内所有的共享目录和其所有子目录中,诱骗其他用户运行。

1.将自己拷贝到C:\WINNT\rundl132.exe

2.释放另一蠕虫病毒到C:\Program Files\svhost32.exe(也是worm.Beann)

3.添加注册表启动项:

蠕虫的:

HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
"load"="C:\WINNT\rundl132.exe"
HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows
"load"="C:\PROGRA~1\svhost32.exe"

木马的:

HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
"TProgram"="C:\WINNT\smss.exe"
HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
"ToP"="C:\WINNT\LSASS.exe"

4.在当前目录下释放vDll.dll

5.释放一传奇木马病毒C:\WINNT\System32\ztdll.dll(Win32.Troj.Lineage.zc)

6..释放Win32.Troj.PSWWoW木马病毒的多个副本:

C:\WINNT\1.com
C:\WINNT\1SY.EXE
C:\WINNT\smss.exe
C:\WINNT\finders.com
C:\WINNT\EXP10RER.com
C:\WINNT\exerouter.exe
C:\WINNT\System32\rund1132.com
C:\WINNT\System32\command.pif
C:\WINNT\System32\MSCONFIG.COM
C:\WINNT\System32\dxdiag.com
C:\WINNT\System32\regedit.com
C:\WINNT\Debug\DebugProgram.exe
C:\progra~1\intern~1\inexplore.com
C:\progra~1\common~1\inexplore.pif

7.释放Win32.Troj.PSWLmir.xi木马病毒的多个副本:

C:\WINNT\2SY.EXE
C:\WINNT\LSASS.exe
C:\WINNT\EXERT.exe
C:\WINNT\System32\MSCONFIG.COM
C:\WINNT\System32\dxdiag.com
C:\WINNT\System32\regedit.com
C:\WINNT\Debug\DebugProgram.exe
C:\progra~1\intern~1\INTEXPLORE.com
C:\progra~1\common~1\INTEXPLORE.pif

8.在其他盘根目录下释放Win32.Troj.PSWWoW病毒副本:

(在此只写了D盘的)

D:\command.com
并生成一个D:\autorun.inf,其内容如下:
[autorun]
OPEN=D:\command.com

此外还有一个.ini文件,该文件只纪录了当前的日期
D:\_desktop.ini
2006/5/26

9.将蠕虫拷贝到局域网所有的共享目录和其所有子目录中

10.修改大量文件关联:

HKLM\SOFTWARE\Classes\htmlfile\shell\open\command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com""
HKCR\ftp\shell\open\command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" %1"
HKCR\htmlfile\shell\open\command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
HKCR\htmlfile\shell\opennew\command
(Default)=""C:\Program Files\common~1\inexplore.pif""
HKCR\http\shell\open\command
(Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
HKLM\SOFTWARE\Classes\http\shell\open\command
(Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
HKCR\Drive\shell\find\command
(Default)="%SystemRoot%\EXP10RER.com"
HKLM\SOFTWARE\Classes\htmlfile\shell\open\comman
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
HKCR\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com""
HKCR\ftp\shell\open\command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" %1"
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
Cookies="C:\Documents and Settings\jjwen1\Cookies"
HKCR\htmlfile\shell\open\command
(Default)=""C:\Program Files\Internet Explorer\inexplore.com" -nohome"
HKCR\htmlfile\shell\opennew\command
(Default)=""C:\Program Files\common~1\inexplore.pif""
HKCR\http\shell\open\command
(Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
HKLM\SOFTWARE\Classes\http\shell\open\command
(Default)=""C:\Program Files\common~1\inexplore.pif" -nohome"
HKCR\WindowFiles\shell\open\command
(Default)="C:\WINNT\EXERT.exe "%1" %*"
HKCR\.exe
(Default)="WindowFiles"

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章