病毒名称:Win32.TrojDownloader.FraudLoad.66048
中文名称:伪装暴力下载器66048
威胁级别:★★☆☆☆
病毒类型:黑客程序
病毒长度:66048字节
影响系统:Win9x WinMe WinNT Win2000 WinXP Win2003
病毒行为:
这是一个黑客木马程序。该木马会降低系统安全设置，关闭防火墙，使得黑客可以很容易地入侵用户的计算机。它还会窃取用户系统中的密码和个人数据，并下载其它木马。
1.释放病毒
%Local Settings%Temporary Internet FilesContent.IE5C4DGV5NIgoggle[1].htm
%WINDOWS%braviax.exe
%WINDOWS%u629.dat
%system32%braviax.exe
%system32%u629.dat
%system32%Nivrs32.dat
%system32%winivstr.exe
生成在wincmd.ini文件中添加：
firstmnu=3513
[lefttabs]
0_path=c:WorkTools
0_options=1|0|0|0|0|1|0
activetab=1
[righttabs]
0_path=c:WorkToolsOllyICE
0_options=1|0|0|0|0|0|0
activetab=0
activelocked=1
2.创建键值，建立服务，可以自启动
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
Search Bar "http://www.google.com/ie"
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun
braviax "C:WINDOWSsystem32braviax.exe"
3.修改注册表项
HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerMain"EnableBrowserExtensions"
= "yes"
HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerMain"SearchBar"
= "http://www.google.ie"
HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerMain"SearchPage"
= "http://www.google.com"
HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerMain"StartPage"
= "http://www.google.com"
HKEY_LOCAL_MACHINESoftwareMicrosoftInternetExplorerMain"Default_Search_URL"
= "http://www.google.ie"
HKEY_LOCAL_MACHINESoftwareMicrosoftInternetExplorerMain"SearchPage"
= "http://www.google.com"
HKEY_LOCAL_MACHINESoftwareMicrosoftInternetExplorerMain"StartPage"
= "http://www.google.com"
HKEY_LOCAL_MACHINESoftwareMicrosoftInternetExplorerSearch"SearchAssistant"
= "http://www.google.com"
修改以下注册表项，减低系统安全设置
HKEY_LOCAL_MACHINESOFTWAREMicrosoftSecurityCenter"AntiVirusDisableNotify"
= "01000000"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftSecurityCenter"FirewallDisableNotify"
<= "01000000"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftSecurityCenter"UpdatesDisableNotify" = "01000000"
HKEY_CURRENT_USERSOFTWAREMicrosoftSecurityCenter"AntiVirusDisableNotify" = "01000000"
HKEY_CURRENT_USERSOFTWAREMicrosoftSecurityCenter"FirewallDisableNotify" = "01000000"
HKEY_CURRENT_USERSOFTWAREMicrosoftSecurityCenter"UpdatesDisableNotify" = "01000000"
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPoli
cyStanda
rdProfilenableFirewall" = "00000000"
4.病毒注入到所有进程中并调用运行，保护病毒体不被复制、删除。
破坏多款防火墙程序，窃取被感染计算机
上用户的私密信息并发送给病毒作者，另外，可能会破坏用户计算机系统内的某些应用程序等。
5.从http://www.so****shier.com/me***ers/link[已删除],下载执行其他病毒。