netdde32.exe

广告木马 netdde32.exe KB9269O6.log 解决方案

档案编号：CISRT2007067
病毒名称：N/A（Kaspersky）
病毒别名：Win32.Hack.Unknown.57080（毒霸）
病毒大小：57,080 字节
加壳方式：
样本MD5：7ddf93d94030c98f0c0807f748f2a5e5
样本SHA1：0f35c0074c770c18654203c3179655d3e9d8835b
发现时间：2007.5
更新时间：2007.5
关联病毒：
传播方式：恶意网页、程序捆绑、其它病毒或木马下载

技术分析
==========

这是一个下载广告程序的木马，运行后复制自身到系统目录：
%System%\netdde32.exe
释放dll注入进程：
%Windows%\KB9269O6.log

创建映像劫持：

[Copy to clipboard]

CODE:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Explorer.exe]
"Debugger"="%System%\netdde32.exe"

并监视恢复。

尝试访问网络下载广告程序并安装。

清除步骤
==========

1. 重命名木马文件：
%System%\netdde32.exe
%Windows%\KB9269O6.log

2. 复制一份%Windows%\Explorer.exe，并将复制的Explorer.exe重命名为netdde32.ex