下载者Spyware-Realtime-Spy（winlogon.exe）分析

文件名称：winlogon.exe


文件大小：112,099 bytes


AV命名：Spyware-Realtime-Spy


加壳方式：未


文件MD5：EEF95C2AAC3005BE783CC7FDA29C078E


病毒类型：下载者


1、释放文件：


C:\Program Files\winlogon.exe 112,099 bytes


2、添加启动项：


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

Srv32Win = "% C:\Program Files\winlogon.exe "


3、连接网络下载木马：


http://www.ss-01.com/R0***/


一共下载5个，都是盗号的木马。


4、创建互斥体，防止系统多个相同病毒在运行。


5、开启数个网络线程，后台刷流量。




解决方法：


1、下载sreng，删除启动项：


Srv32Win


2、删除文件：C:\Program Files\winlogon.exe


3、重起计算机，修改qq、网游等密码。

www.newjian.com