加入收藏 系统进程宝典
系统进程宝典协助您查询svchos.exe进程管理的经验!

svchos.exe

病毒分析

(1)生成%Temp%\smses.exe和%Temp%\svchos.exe
(2)分别运行%Temp%\smses.exe和%Temp%\svchos.exe
(3)运行%Temp%\smses.exe时生成%SystemDriver%\xxxxxx.dll,%SystemDriver%\Fonts\gzgbxiazai.dat
和%SystemDriver%\Fonts\wvlwirog.tmp,然后把wvlwirog.tmp重命名为%SystemDriver%\fonts\wvlwirog.dll,
(4)运行%Temp%\svchos.exe时弹出错误对话框,显示“本操作仅支持Windows 9X系列”以迷惑用户
(5)然后加载%SystemDriver%\fonts\wvlwirog.dll
(6)修改注册表
(7)设置钩子,获取QQ帐号和密码,并发送到指定网页
(8)使用命令行删除%Temp%\smses.exe

病毒创建文件:
%Temp%\smses.exe
%Temp%\svchos.exe
%SystemDriver%\xxxxxx.dll
%SystemDriver%\Fonts\gzgbxiazai.dat
%SystemDriver%\fonts\wvlwirog.dll

病毒删除文件:

%Temp%\smses.exe

病毒创建注册表:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl.1\CLSID
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AF59F601-FCF8-443A-8DBF-B7918AEB9094}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1A5ED667-F873-4549-9F86-3BE3B1754365}

病毒创建进程:

smses.exe
svchos.exe

病毒摘要

该样本是使用Delphi编写的木马程序,由微点主动防御软件自动捕获,图标为“”,病毒扩展名为“exe”,主要通过“文件捆绑”、“下载器下载”、“网页木马”等方式传播,病毒主要目的为盗取用户QQ帐号。
用户中毒后,QQ无故关闭,输入帐号、密码时运行缓慢的现象,会无故弹出错误对话框,最终将导致虚拟财产被黑客盗取。

病毒专杀方法

1、手动删除以下文件:
%Temp%\smses.exe
%Temp%\svchos.exe
%SystemDriver%\xxxxxx.dll
%SystemDriver%\Fonts\gzgbxiazai.dat
%SystemDriver%\fonts\wvlwirog.dll
2、手动删除以下注册表值:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl.1\CLSID
数据:{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}所有键
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AF59F601-FCF8-443A-8DBF-B7918AEB9094}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1A5ED667-F873-4549-9F86-3BE3B1754365}