天啊!我是不是中的高级木马啊!!! YEPDLF47.DLL

来源：百度知道 编辑：UC知道 时间：2024/04/27 15:08:29
我用的是卡巴斯基6.0,提示我有木马,卡可以查到,并自动处理了，也告诉我在电脑重起时可以删除,并自动关机,可是电脑重起后就在那给我玩无限的循环,发现病毒并处理-提示重起后可杀毒-重起-发现病毒并处理-提示重起后可杀毒-重起…
木马程序：Trojan-Downloader.Win32.Agent.bbc
文件：C;\WINDOWS\SYSTEM32\YEPDLF47.DLL
我电脑现在唯一可以使用（不让他自己重起）的方法就关掉杀毒软件！
我在安全模式下试过删除这个文件，可是删不掉，提示文件正在使用

病毒运行后首先建立HKLM\Software\Classes\MSipv项，然后病毒创建自身副本到系统目录下：
%System%\ .exe
%System%\notepad .exe
%Windows%\System\RUNDLL32.EXE（如果是Windows 2000/XP）
%Windows%\System32\RUNDLL32.EXE（如果是Windows 9x）

并修改EXE和TXT的文件关联：
HKLM\Software\Classes\exefile\shell\open\command
EXE文件关联被修改为“ %1 %*”
HKLM\Software\Classes\txtfile\shell\open\command
TXT文件关联被修改为“notepad %1”

注：其中“ ”不是单纯的一个空格，而是一个字符,是双字节ASCII码为“41643”。病毒感染系统后会显示一个提示框：“安装时检测到系统中某程序与本软件发生冲突，请先纠正该冲突，或选择另一台电脑上安装！”
再注：病毒文件大小不固定，从文件内容来看好像是通过一些重复的信息来改变文件大小。

此外，病毒还会检查被感染系统是否安装QQ，如果安装有QQ，病毒则通过注册表找到QQ.EXE所在路径，把正常的TIMPlatform.exe改名为TIMP1atform.exe，将病毒自身复制为TIMPlatform.exe。

最后在注册表建立病毒标记：
HKLM\Software\Classes\MSipv\MainSetup
HKLM\Software\Classes\MSipv\MainUp
HKLM\Software\Classes\MSipv\MainVer
其中MainSetup和MainUp值相同，但不固定。