Worm.Logo.d.33792

这是一个蠕虫病毒，进入用户系统后就执行病毒作者指定的破坏行为，如感染文件、自动传播等。

C:\Program Files\Common Files\System\svchost.exe
C:\WINDOWS\SYSTEM32\4EB785EE.EXE
C:\WINDOWS\SYSTEM32\delme.bat
C:\WINDOWS\SYSTEM32\40B968F6.DLL

在磁盘中删除了以下文件:
/F /Q "C:\SAMPLE.EXE"

在注册表中创建了以下信息:
"HKLMSystemCurrentControlSetServices8DD8B59C"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C"

在注册表中设置了以下信息:
"HKLMSystemCurrentControlSetServices8DD8B59C" "ImagePath" "C:WINDOWSSYSTEM324EB785EE.EXE -k"
"HKLMSystemCurrentControlSetServices8DD8B59C" "DisplayName" "8DD8B59C"
"HKLMSystemCurrentControlSetServices8DD8B59C" "Description" "40B968F6"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "Description" "40B968F6"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "DisplayName" "8DD8B59C"
"HKLMSystemCurrentControlSetServices8DD8B59C" "ErrorControl" "
"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "ImagePath" "C:WINDOWSSYSTEM324EB785EE.EXE -k"
"HKLMSystemCurrentControlSetServices8DD8B59C" "ObjectName" "LocalSystem"
"HKCUSoftwareSYSTEMCurrentControlSetServices8DD8B59C" "ObjectName" "LocalSystem"
"HKLMSystemCurrentControlSetServices8DD8B59C" "Start" ""
"HKLMSystemCurrentControlSetServices8DD8B59C" "Type" ""

病毒会连接作者指定的网址:
病毒会从 http://gm4.testkl.cn/kl.exe 下载文件至本地计算机 C:Program FilesCommon FilesSystemsvchost.exe
域名:"gm4.testkl.cn" 端口:80 (TCP)
gm4.testkl.cn/kl.exe

在系统中创建了以下进程:
"4EB785EE.EXE"
"CMD.EXE"
病毒尝试使用[SeDebugPrivilege]权限枚举进程
病毒会注入 winlogon.exe 进程

在系统中创建了以下服务:
服务名: "8DD8B59C (8DD8B59C)"
映像路径: "C:WINDOWSSYSTEM324EB785EE.EXE -k"

病毒会通过以下途径传播:
病毒会利用网络进行传播