sos1645.exe 分析和查杀方法

行特征：

　　C、D、E、F、G、H、J、I、K、L盘下生成

　　sos1645.exe

　　关于sos1645有一条记录

　　http://iask.sina.com.cn/b/13301016.htm

　　autorun.inf

　　autorun.inf内容为

　　[AutoRun]

　　open=sos1645.exe

　　shell\open=打开(&O)

　　shell\open\Command=sos1645.exe

　　shell\open\Default=1

　　shell\explore=资源管理器(&X)

　　shell\explore\Command=sos1645.EXE

　　替换首页内容

　　HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main\StartPage,

　　http://www.cnxhack.com

　　sos1645.exe 同样VB6

　　添加启动项

　　(UNICODE
"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\WiniDows")

　　修改IE首页

　　(UNICODE "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start
Page")

　　关闭任务处理器(UNICODE"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr")

　　关闭注册表

　　(UNICODE"HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System\DisableRegistryTools")

　　锁定IE首页

　　(UNICODE "HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet
Explorer\Restrictions\NoBrowserOptions")

　　执行QQ1945021后

　　在c:\windows\temp中按照日期时间生成QQ20080731090623.exe文件名随着时间自动变更 病毒程序与系统时间同步校对
手工删除后会立即生成新的病毒程序

　　C语编 键盘钩子获取信息 盗取帐号

　　程序都没有对外主动连接或者反向连接的木马功能

　　样本可以逃脱多种杀毒软件的查杀，但是修改系统的特征行为会被安全防护软件提示。

　　qq1945021

　　sos1645

　　都为宿主型 主要为释放QQ20080731090623为目的

　　HKCU\Software\Microsoft\Windows\Current\Version\Run:WiniDows qq20080(时间段).exe
删除

　　D\E盘的 sos1645和autorun 手工删

　　很多软件都可以把注册表和IE首页恢复

　　任务管理器恢复DisableTaskMgr，修改为0

　　c:\windows\temp 文件夹删除