svchos.exe

病毒分析

(1)生成%Temp%\smses.exe和%Temp%\svchos.exe
(2)分别运行%Temp%\smses.exe和%Temp%\svchos.exe
(3)运行%Temp%\smses.exe时生成%SystemDriver%\xxxxxx.dll，%SystemDriver%\Fonts\gzgbxiazai.dat
和%SystemDriver%\Fonts\wvlwirog.tmp，然后把wvlwirog.tmp重命名为%SystemDriver%\fonts\wvlwirog.dll，
(4)运行%Temp%\svchos.exe时弹出错误对话框，显示“本操作仅支持Windows 9X系列”以迷惑用户
(5)然后加载%SystemDriver%\fonts\wvlwirog.dll
(6)修改注册表
(7)设置钩子，获取QQ帐号和密码，并发送到指定网页
(8)使用命令行删除%Temp%\smses.exe

病毒创建文件：
%Temp%\smses.exe
%Temp%\svchos.exe
%SystemDriver%\xxxxxx.dll
%SystemDriver%\Fonts\gzgbxiazai.dat
%SystemDriver%\fonts\wvlwirog.dll

病毒删除文件：

%Temp%\smses.exe

病毒创建注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl.1\CLSID
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AF59F601-FCF8-443A-8DBF-B7918AEB9094}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1A5ED667-F873-4549-9F86-3BE3B1754365}

病毒创建进程：

smses.exe
svchos.exe

病毒摘要

该样本是使用Delphi编写的木马程序，由微点主动防御软件自动捕获，图标为“”，病毒扩展名为“exe”，主要通过“文件捆绑”、“下载器下载”、“网页木马”等方式传播，病毒主要目的为盗取用户QQ帐号。
用户中毒后，QQ无故关闭，输入帐号、密码时运行缓慢的现象，会无故弹出错误对话框，最终将导致虚拟财产被黑客盗取。

病毒专杀方法

1、手动删除以下文件：
%Temp%\smses.exe
%Temp%\svchos.exe
%SystemDriver%\xxxxxx.dll
%SystemDriver%\Fonts\gzgbxiazai.dat
%SystemDriver%\fonts\wvlwirog.dll
2、手动删除以下注册表值：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl.1\CLSID
数据：{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4BB28DC6-CEA8-4ABA-B5F1-E56165B6D65D}所有键
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Dllhost.dllhostatl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AF59F601-FCF8-443A-8DBF-B7918AEB9094}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{1A5ED667-F873-4549-9F86-3BE3B1754365}