病毒查杀:Win32:Gaobot-2437

Simen.Resh@d

作者：Greysign

一、
病毒标签：
病毒名称：
Win32:Gaobot-2437
病毒类型：
病毒
MD5: 1AB6A852EF767FDBB43A4624DA973691

文件长度：   115 KB (117,760 字节)
公开范围：
完全公开
危害等级： C
开发工具： Borland Delphi v6.0 - v7.0

加壳类型：
无
命名对照：

DrWeb

4.44.0.09170

2008.03.04

Trojan.PWS.Gamania.7511

二、
病毒描述：

该病毒通过利用瑞星升级的方法将瑞星停止后删除其服务，文件等破坏瑞星软件。
三、
行为分析：

释放文件：

c:\NTDUBECT.EXE

Date: 3-6-2008 7:54 PM

Size: 117,760 bytes

c:\WINDOWS\system32\knlExt.dll

Date: 3-6-2008 7:55 PM

Size: 2,856 bytes

c:\WINDOWS\system32\Wingin.exe

Date: 8-4-2004 12:52 AM

Size: 176,128 bytes

c:\WINDOWS\system32\drivers\usbKeyInit.sys

Date: 3-6-2008 7:55 PM

Size: 1,088 bytes
添加启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run "Wingin"
Type: REG_SZ
Data: c:\WINDOWS\system32\Wingin.exe


解决方案：
用超级巡警暴力删除文件软件删除：
c:\NTDUBECT.EXE

c:\WINDOWS\system32\knlExt.dll

c:\WINDOWS\system32\Wingin.exe

c:\WINDOWS\system32\drivers\usbKeyInit.sys
删除启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run "Wingin"


注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录


A级
大面积感染流行，并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。
B级
有一定的感染流行面积，或者有鲜明的技术特点值得进一步关注，或为既往A级蠕虫比较成熟的变种
C级
有少量感染流行，或虽然有一定感染流行面积，但是既往B级蠕虫变种。
D级
有极少量感染流行，但有一定潜在威胁。
E级
没有发现感染流行。

SiMen.ivanbasso

多谢分享....几个朋友前几天中的这个....