sos1645.exe 分析和查杀方法

　　C、D、E、F、G、H、J、I、K、L盘下生成

　　sos1645.exe

　　关于sos1645有一条记录

　　http://iask.sina.com.cn/b/13301016.htm

　　autorun.inf

　　autorun.inf内容为

　　[AutoRun]

　　open=sos1645.exe

　　shellopen=打开(&O)

　　shellopenCommand=sos1645.exe

　　shellopenDefault=1

　　shellexplore=资源管理器(&X)

　　shellexploreCommand=sos1645.EXE

　　替换首页内容

　　HKEY_CURRENT_USERSoftwareMicrosoftInternetExplorerMainStartPage,

　　http://www.cnxhack.com

　　sos1645.exe 同样VB6

　　添加启动项

　　(UNICODE

　　"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRunWiniDows")

　　修改IE首页

　　(UNICODE "HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMainStart

　　Page")

　　关闭任务处理器(UNICODE"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableTaskMgr")

　　关闭注册表

　　(UNICODE"HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableRegistryTools")

　　锁定IE首页

　　(UNICODE "HKEY_CURRENT_USERSoftwarePoliciesMicrosoftInternet

　　ExplorerRestrictionsNoBrowserOptions")

　　执行QQ1945021后

　　在c:windowstemp中按照日期时间生成QQ20080731090623.exe文件名随着时间自动变更 病毒程序与系统时间同步校对

　　手工删除后会立即生成新的病毒程序

　　C语编 键盘钩子获取信息 盗取帐号

　　程序都没有对外主动连接或者反向连接的木马功能

　　样本可以逃脱多种杀毒软件的查杀，但是修改系统的特征行为会被安全防护软件提示。

　　qq1945021

　　sos1645

　　都为宿主型 主要为释放QQ20080731090623为目的

　　HKCUSoftwareMicrosoftWindowsCurrentVersionRun:WiniDows qq20080(时间段).exe

　　删除

　　DE盘的 sos1645和autorun 手工删

　　很多软件都可以把注册表和IE首页恢复

　　任务管理器恢复DisableTaskMgr，修改为0

　　c:windowstemp 文件夹删除