关于bo1037.exe分析日记,请高手进来看看!!!!!!!!!

显示全部楼层 · 发表于 2008-12-2 18:55:59

病毒创建C:\WINDOWS\TASKS\MSUPDATETASK.JOB
病毒释放C:\windows\winsw9.dll

然后建立计划任务
名字叫MsUpdateTask.job
rundll32 C:\WINDOWS\winsw9.dll,fnOpen
设置为每天运行

然后把C:\WINDOWS\winsw9.dll插入Explore.exe运行
然后winsw9.dll会连接一个特定的IP地址
58.61.167.12:80

但是这个病毒连接这个IP到底干什么呢?我在这个IP的主页也没找到什么木马下载地址
麻烦高手看看,我想找出幕后的木马下载地址,然后把他们全部报上去
请高手指教

显示全部楼层 · 发表于 2008-12-2 18:57:43

不会是耍流量吧？

显示全部楼层 · 发表于 2008-12-2 20:07:37

你代码分析一下winsw9.dll便可知道:
00035018 10036218 0 http://www.kaolabao.net/bo/update.ini

显示全部楼层 · 发表于 2008-12-2 20:08:44

其实就是病毒更新网址
见到他更新了我就发出来

[病毒样本] 关于bo1037.exe分析日记,请高手进来看看!!!!!!!!!

本帖子中包含更多资源

回复 2楼 wangfeng66 的帖子