这个病毒是个广告木马程序。病毒作者在对抗安全软件方面,参考AV终结者的一些行为。如成功入侵系统,它就会弹出许多的广告窗口,严重干扰用户的正常使用。
病毒运行后先释放下列两个文件:
C:\WINDOWS\Winxp.dll
C:\WINDOWS\system32\drivers\winsawids.sys
然后Winxp.dll再释放下面的文件:
C:\WINDOWS\system32\psapi.dll
psapi.dll还会生成一个profile.out的文件。
创建系统服务启动sys文件:
Key: "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Management"
ImagePath: "\??\C:\WINDOWS\system32\drivers\winsawids.sys"
DisplayName: "Windows Management Instrumentations"
ObjectName: "LocalSystem"
由Winxp.dll再启动psapi.dll
Winxp.dll会遍历系统进程信息查找下列杀毒软件,找到的话调用TerminateProcess结束掉:
ravmond.exe
ravmon.exe
ravstub.exe
ravtask.exe
rsagent.exe
rstray.exe
ras.exe
ccenter.exe
kwatch.exe
kpfwsvc.exe
kpfw32.exe
kmailmon.exe
kissvc.exe
kavstart.exe
然后,再使用TaskKill加上下面的字串的方式结束杀软
/f /im kmailmon.exe
/f /im kpfwsvc.exe
/f /im ccenter.exe
/f /im ravmond.exe
/f /im ravstub.exe
winsawids.sys的功能为恢复SSDT过杀毒软件,另外提供了2个IoControlCode:2220C0h和22E14Bh供dll文件使用,来HookSSDT中的函数,隐藏自身文件。
psapi.dll的会创建名为profile.out的配置文件,修改用户系统设置。