02月05日病毒播报：“奥菲卡”变种aar和“冒牌货”变种

在今天的病毒中Trojan/Oficla.aar“奥菲卡”变种aar和Trojan/Mepaow.vy“冒牌货”变种vy值得关注。

英文名称：Trojan/Oficla.aar
中文名称：“奥菲卡”变种aar
病毒长度：21504字节
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：4d5965b9c23d739ed78dd937ccefa78d
特征描述：
    Trojan/Oficla.aar“奥菲卡”变种aar是“奥菲卡”家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，经过加壳保护处理。“奥菲卡”变种aar运行后，会在被感染系统的“%USERPROFILE%\Local Settings\Temp\”文件夹下释放恶意DLL组件“1.tmp”，然后将其复制到“%SystemRoot%\system32\”文件夹下，重新命名为“aiba.kpo”。“奥菲卡”变种aar运行时，会将释放的恶意DLL组件“aiba.kpo”插入到被感染系统的“svchost.exe”进程中隐秘运行。后台执行恶意操作，从而防止被轻易地查杀。在被感染系统的后台连接骇客指定的远程站点，下载恶意程序并自动调用运行。这些恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，会给用户造成不同程度的损失。另外，“奥菲卡”变种aar会修改被感染系统注册表启动项中“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell”的键值为“Explorer.exe rundll32.exe aiba.kpo ebbjy”，以此实现开机自启。

英文名称：Trojan/Mepaow.vy
中文名称：“冒牌货”变种vy
病毒长度：80384字节
病毒类型：木马
危险级别：★
影响平台：Win 9X/ME/NT/2000/XP/2003
MD5 校验：53644a6951a5bed5f018ec1b6373490c
特征描述：
    Trojan/Mepaow.vy“冒牌货”变种vy是“冒牌货”家族中的最新成员之一，采用“Microsoft Visual C++ 6.0”编写，经过加壳保护处理。“冒牌货”变种vy运行后，会在被感染系统中执行命令“%SystemRoot%\system32\cmd.exe /c tasklist.exe”。向“%SystemRoot%\system32\drivers\beep.sys”中写入恶意代码，然后将其复制到“%SystemRoot%\system32\”文件夹下重新命名为“msconfig32.sys”。“冒牌货”变种vy运行时，会自我复制到被感染系统的“%SystemRoot%\system32\”文件夹下，重新命名为“msconfig32.exe”。释放恶意DLL组件“msconfig32.dll”，并将以上文件的属性设置为“系统、隐藏”。“冒牌货”变种vy是一个木马下载工具，其会在被感染系统的后台连接骇客指定的远程站点“203.131.*.27/kernel/usa.txt”，读取加密的配置文件，然后进行自升级和下载其它恶意程序的行为。其所下载的恶意程序可能为网络游戏盗号木马、远程控制后门或恶意广告程序（流氓软件）等，从而给用户造成了不同程度的损失。另外，其会通过创建名为“msconfig32Drv”的服务的方式实现开机自启。

 

标签分类：