这是一个蠕虫病毒，进入用户系统后就执行病毒作者指定的破坏行为，如感染文件、自动传播等。
C:Program FilesCommon FilesSystemsvchost.exe
C:WindowsSYSTEM324EB785EE.EXE
C:WindowsSYSTEM32delme.bat
C:WindowsSYSTEM3240B968F6.DLL
在磁盘中删除了以下文件:
/F /Q "C:SAMPLE.EXE"
在注册表中创建了以下信息:
"HKLMSystemCurrentControlSetServices8DD8B59C"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C"
在注册表中设置了以下信息:
"HKLMSystemCurrentControlSetServices8DD8B59C" "ImagePath" "C:WindowsSYSTEM324EB785EE.EXE -k"
"HKLMSystemCurrentControlSetServices8DD8B59C" "DisplayName" "8DD8B59C"
"HKLMSystemCurrentControlSetServices8DD8B59C" "Description" "40B968F6"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "Description" "40B968F6"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "DisplayName" "8DD8B59C"
"HKLMSystemCurrentControlSetServices8DD8B59C" "ErrorControl" ""
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "ImagePath" "C:WindowsSYSTEM324EB785EE.EXE -k"
"HKLMSystemCurrentControlSetServices8DD8B59C" "ObjectName" "LocalSystem"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "ObjectName" "LocalSystem"
"HKLMSystemCurrentControlSetServices8DD8B59C" "Start" ""
"HKLMSystemCurrentControlSetServices8DD8B59C" "Type" ""
病毒会连接作者指定的网址:
病毒会从 http://gm4.testkl.cn/kl.exe 下载文件至本地计算机 C:Program FilesCommon FilesSystemsvchost.exe
域名:"gm4.testkl.cn" 端口:80 (TCP)
gm4.testkl.cn/kl.exe
在系统中创建了以下进程:
"4EB785EE.EXE"
"CMD.EXE"
病毒尝试使用[SeDebugPrivilege]权限枚举进程
病毒会注入 winlogon.exe 进程
在系统中创建了以下服务:
服务名: "8DD8B59C (8DD8B59C)"
映像路径: "C:WindowsSYSTEM324EB785EE.EXE -k"
病毒会通过以下途径传播:
病毒会利用网络进行传播
