Trojan-PSW.Win32.Magania.cjy解决方法

木马Trojan-PSW.Win32.Magania.cjy
inst.exe,Setup.exe
Backdoor/Agent.apnf
病毒名称： Trojan-PSW.Win32.Magania.cjy
病毒类型： 木马
江民杀毒 10.00.650 Backdoor/Agent.apnf 1.395
NOD32 2.70.10 a variant of Win32/PSW.OnLineGames.NFF trojan 4.185
该病毒为玛格尼亚病毒的新变种，释放一个DLL通过挂钩和内存截获来盗取网络游戏的帐号密码。运行之后将释放一些AV图片并打开，再释放病毒到Program Files与WINDOWS\Help目录下。

行为分析
运行以后释放文件：
c:\Program Files\inst.exe
Date: 11-29-2007 11:00 PM
Size: 103,163 bytes
c:\Program Files\inst.txt
Date: 11-29-2007 10:44 PM
Size: 0 bytes
c:\Program Files\Setup.exe
Date: 12-28-2007 2:41 PM
Size: 76,388 bytes
c:\Program Files\MyPic\2006924192650605.jpg
Date: 7-19-2007 6:28 AM
Size: 7,613 bytes
c:\Program Files\MyPic\2006924192732323.jpg
Date: 7-19-2007 6:28 AM
Size: 7,649 bytes
c:\Program Files\MyPic\2006924192810432.jpg
Date: 7-19-2007 6:28 AM
Size: 7,598 bytes
c:\Program Files\MyPic\2006924192810821.jpg
Date: 7-19-2007 6:28 AM
Size: 13,258 bytes
c:\Program Files\MyPic\2006924192810918.jpg
Date: 7-19-2007 6:28 AM
Size: 7,702 bytes
c:\WINDOWS\1.bat
Date: 1-4-2008 1:06 PM
Size: 96 bytes
c:\WINDOWS\Help\F3C74E3FA248.dll
Date: 1-4-2003 1:06 PM
Size: 60,928 bytes
c:\WINDOWS\Help\F3C74E3FA248.exe
Date: 12-28-2007 2:41 PM
Size: 76,388 bytes
图片均为AV图片。

释放问后运行
c:\WINDOWS\Help\F3C74E3FA248.dll
c:\WINDOWS\Help\F3C74E3FA248.exe
盗取游戏帐号密码。

建立服务进行开机启动：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Explorer\ShellExecuteHooks "{1DBD6574-D6D0-4782-94C3-69619E719765}"
Type: REG_SZ
Data: c:\WINDOWS\Help\F3C74E3FA248.dll

解决方案：
删除文件：
c:\Program Files\inst.exe
c:\Program Files\inst.txt
c:\Program Files\Setup.exe
c:\Program Files\MyPic\2006924192650605.jpg
c:\Program Files\MyPic\2006924192732323.jpg
c:\Program Files\MyPic\2006924192810432.jpg
c:\Program Files\MyPic\2006924192810821.jpg
c:\Program Files\MyPic\2006924192810918.jpg
c:\WINDOWS\1.bat
c:\WINDOWS\Help\F3C74E3FA248.dll
c:\WINDOWS\Help\F3C74E3FA248.exe
删除注册表服务启动项目：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Explorer\ShellExecuteHooks\{1DBD6574-D6D0-4782-94C3-69619E719765}

本文来自: 脚本之家(www.jb51.net) 详细出处参考：http://www.jb51.net/article/13299.htm