海色の月

档案编号：CISRT2007095
病毒名称：Trojan-Proxy.Win32.Small.du（Kaspersky）
病毒别名：Trojan.PSW.Win32.OnlineGames.dfy [exe]（瑞星）, Trojan.PSW.Win32.OnlineGames.dhb [dll]（瑞星）
　　　　　 Win32.Troj.Small.du.23552 [exe]（毒霸）, Win32.Troj.AgentT.hl.66048 [dll]（毒霸）
病毒大小：26,112 字节
加壳方式：
样本MD5：e5015a86c2771d46e34e951f4095d85e
样本SHA1：bb391492ad21ab9ddb1e5eeb2a992c1b7e672a0d
发现时间：2007.7
更新时间：2007.7.11
关联病毒：
传播方式：通过恶意网页传播、其它木马下载


技术分析
==========

变种：
【CISRT2006089】木马 windhcp.ocx 解决方案
【CISRT2006069】setvp.exe windhcp.dll 解决方案
【CISRT2007008】木马 xpdhcp.dll 解决方案
【CISRT2007053】木马 windhcp.ocx 解决方案
【CISRT2007054】木马 msdebug.dll 解决方案
【CISRT2007055】木马 RemoteDbg.dll 解决方案
【CISRT2007056】木马 windds32.dll 解决方案
【CISRT2007094】木马 netsrvcs.dll 解决方案

木马运行后释放dll到系统目录：
%System%\WMIApiSrv.dll

创建服务：

引用:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WMIApiSrv]
显示名：WMI Performance API
描述：为 Windows Management Instrumentation (WMI) 提供所需的系统函数。
可执行文件的路径：%System%\rundll32.exe WMIApiSrv.dll,input

清除步骤
==========

1. 删除服务：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WMIApiSrv]

2. 重新启动计算机

3. 删除文件：
%System%\WMIApiSrv.dll


发布时间：2007-07-16 16:04