海色の月

档案编号：CISRT2007008
病毒名称：N/A（Kaspersky）
病毒别名：Trojan.PSW.JHOnline.faa（瑞星）
病毒大小：52,224 字节
加壳方式：PE_Patch.PECompact PecBundle PECompact
样本MD5：3e003361f23df2be3428dd57ca81b229
样本SHA1：469f63770ff064435098308894d99b4785e2dbf7
发现时间：2007.1
更新时间：2007.1
关联病毒：
传播方式：恶意网页、其它病毒下载


技术分析
==========

继【CISRT2006089】木马 windhcp.ocx 解决方案和【CISRT2006069】setvp.exe windhcp.dll 解决方案之后的变种，运行后释放xpdhcp.dll到系统目录：
%System%\xpdhcp.dll
注入Explorer.exe进程，创建服务：

引用:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinXPDHCPsvc]
显示名：WinXP DHCP Service
描述：为远程计算机注册并更新 IP 地址。
可执行文件的路径：%System%\rundll32.exe xpdhcp.dll,start

清除步骤
==========

1. 删除服务项：

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinXPDHCPsvcc]

2. 重新启动计算机

3. 删除文件：
%System%\xpdhcp.dll


发布时间：2007-01-09 16:55