海色の月

档案编号：CISRT2007080
病毒名称：Trojan-Downloader.Win32.Small.czl（Kaspersky）
病毒别名：Trojan.PSW.Win32.LMir.hrq（瑞星）, RootKit.Win32.CallGate.b [sys]（瑞星）
　　　　　 Win32.Hack.Unknown.114688（毒霸）
病毒大小：25,617 字节
加壳方式：NSPack
样本MD5：67ffbf4f7dfd28fb4f28830595fd6333
样本SHA1：055520e4d4e24366c819e2ed14af5498abc01240
发现时间：2007.6
更新时间：2007.6
关联病毒：
传播方式：恶意网页、其它病毒下载


技术分析
==========

变种：
【CISRT2006092】木马 twunk32.exe TIMPlatform.exe TIMPlatfrom.exe 解决方案
【CISRT2007034】木马 ctfnom.exe TIMPlatform.exe TIMPlatfrom.exe 解决方案
【CISRT2007058】木马 ctfnom.exe TIMPlatform.exe 解决方案

木马运行后常驻内存，复制自身到系统目录下：
%System%\visin.exe

释放驱动文件：
%System%\drivers\usbinte.sys

创建启动项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"visin"="%System%\visin.exe"

替换QQ目录下TIMPlatform.exe文件，将原TIMPlatform.exe重命名为TIMPlatfrom.exe，使用病毒副本创建新的TIMPlatform.exe，这样就使得QQ每次运行时都会加载木马程序。


清除步骤
==========

1. 删除QQ目录下被木马替换的TIMPlatform.exe，原正常文件大小约68K：
%QQ%\TIMPlatform.exe

2. 重命名TIMPlatfrom.exe文件：
将%QQ%\TIMPlatfrom.exe重命名为TIMPlatform.exe

3. 删除木马启动项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"visin"="%System%\visin.exe"

4. 重新启动计算机

5. 删除木马文件：
%System%\visin.exe
%System%\drivers\usbinte.sys


发布时间：2007-07-03 15:55