今天刚装的系统，就有特洛伊木马 的变种

来源：百度知道 编辑：UC知道 时间：2024/05/27 05:25:28
今天下午找人从做了系统, 和那个做系统的人并不认识, 闲聊了几句, 聊到木马什么的, 他说他懂得下木马, 盗了很多QQ号, 魔兽号。晚上的时候我上DNF，正在游戏时突然中断了，然后有一行提示，鼠标也点不了了，注销了一下系统，在上号发现被扒了，然后用NOD32全盘扫描了一次，查到这个“C:\Program Files\装机人员工具\EVEREST硬件检测\Reports\安装声卡AD-AC97.exe - 可能是 Win32/Agent 特洛伊木马 的变种 - 通过删除清除 - 已隔离 [1]”从做的系统没有理由，这种木马会在这个位置啊，我没有乱开网站，和下载东西，根据这个木马的位置，会不会是那个装机员下的木马？

档案编号：CISRT2006017
病毒名称：Trojan-PSW.Win32.Lineage.acw（AVP）
病毒别名：
病毒大小：67,127 字节
加壳方式：SVKP
样本MD5：4cb93e90bbc667724f81fb0e1a9cf1ad
发现时间：2006.7.24
更新时间：2006.7.25
关联病毒：Worm.Win32.Viking.r
Trojan.Win32.Delf.rf
Trojan-PSW.Win32.Delf.fz
Trojan-PSW.Win32.Lineage.acw
传播方式：通过恶意网站、其它病毒下载等途径传播

技术分析
==========

Viking.r下载的木马之一，一个征途木马。

下载下来的文件是2Sy.exe，运行后复制自身到：
%ProgramFiles%\svhost32.exe

释放%System%\ztdll.dll插入Explorer.exe进程。

创建自启动项：

CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows]
"load"="%ProgramFiles%\svhost32.exe"
清除步骤
==========

1. 结束病毒进程%ProgramFiles%\svhost32.exe

2. 删除病毒文件：
%ProgramFiles%\svhost32.exe

3. 删除病毒建立的自启动项：

CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software&