文件名称：msepbe.dll
文件大小：3450 字节
AV命名：Trojan-PSW.Win32.OnLineGames.yzt(卡巴斯基)
加壳方式：Upack
编写语言：Delphi
文件MD5：784b752c55b1cd17be2291e43bd7a38d
病毒类型：盗号木马
行为分析：
1、释放文件：
C:\WINDOWS\system32\msepbe.dll 3450 字节
2、添加到注册表启动：
Registry key: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Registry value: AppInit_DLLs
New value:
Type: REG_EXPAND_SZ
3、注入每个运行中的进程，并安装全局钩子
4、监控鼠标、键盘操作，可能作为盗号用。
5、每隔一段时间写入AppInit_DLLs启动项，填充垃圾数据：
Registry key: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Registry value: AppInit_DLLs
New value:
Type: REG_EXPAND_SZ
Value: wfhyt.dll,kghk.dll,ethsh.dll,stehs.dll,sthth.dll,frntrn.dll,qrhhb.dll,drghszd.dll,
fngn.dll,gjjte.dll,xgnfn.dll,xfgnhcgfm.dll,serger.dll,bnxnb.dll,fxgnfx.dll,jzijj.dll,xfgnfx.dll,
serghjm.dll,thsddh.dll,xbcvxb.dll,zfdzb.dll,xdndn.dll,xdfntt.dll,hgfhk.dll,
dnteh.dll,xfng.dll,njritc.dll,chmfcmh.dll,jwlah.dll,gmnait.dll,hfjg.dll,thurh.dll,
mgmgmm.dll,oqrthc.dll,fehom.dll,jyjlt.dll,ijatnaw.dll,sehhter.dll,fhjfg.dll,
zdbdb.dll,ydgn.dll,dbfb.dll,fjnbv.dll,wmsat.dll,setrhes.dll,cdxbfxdb.dll,xfgnxfn.dll,gjkhj.dll,xdhdg
6、最后会调用CMD，删除原载体
解决方法：
1、下载SREng，在注册表启动那项，把AppInit_DLLs“编辑”。
注意一定不要删除，编辑为空，然后确定。
最好是在安全模式下进行
2、重启计算机后，删除文件：
C:\WINDOWS\system32\msepbe.dll
如果有看到：rhs.cfg和rhs.dll，也一并删除。
www.newjian.com
您的位置: