海色の月

档案编号：CISRT2006069
病毒名称：Trojan.Win32.Agent.abf（Kaspersky）
病毒别名：
病毒大小：57,344 字节
加壳方式：PE_Patch.PECompact PecBundle PECompact
样本MD5：788ec9a2d930a570f7ea9d14493cae70
样本SHA1：5967429909932df52d585ce444ba57fb0509f752
发现时间：2006.11.13
更新时间：2006.11.13
关联病毒：
传播方式：来源：可疑文件病毒样本上报信箱newvirus@cisrt.com


技术分析
==========

setvp.exe运行以后释放windhcp.dll到系统目录，并将windhcp.dll注入Explorer.exe进程，创建服务：

引用:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Win32DHCPsvc]
显示名：Win32 DHCP Service
描述：为远程计算机注册并更新 IP 地址。
可执行文件的路径：%System%\rundll32.exe windhcp.dll,start

清除步骤
==========

1. 删除服务项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Win32DHCPsvc]

2. 重新启动计算机

3. 删除文件：
setvp.exe
%System%\windhcp.dll


发布时间：2006-11-14 15:31
更新时间：2006-11-15 09:05