文件名称：710a.exe

　　文件大小：126976 bytes

　　AV命名：Trojan.Win32.Agent.kmx(卡巴斯基)

　　加壳方式：Upx

　　编写语言：Microsoft Visual C++ 7.0

　　文件MD5：9e37f5b3d3c55f267a9e9266e4695efa

　　行为分析：

　　1、首先释放一个6.tmp于％Windir％，启动参数为 /s

　　2、连接219.148.34.*下载广告程序，部分文件：

　　(文件夹) C:WINDOWS

　　(+)(文件) 6771.exe, 53248 字节

　　(+)(文件) 761.bmp, 860160 字节

　　(+)(文件) 77f01.txt, 122880 字节

　　(文件夹) C:WINDOWSsystem32

　　(+)(文件) 3eb, 68 字节

　　(+)(文件) 44191.exe, 122880 字节

　　(+)(文件) 5441.dll, 53248 字节

　　(+)(文件) c51.dll, 860160 字节

　　3、添加启动项：

　　Registry Group: Machine AutoRun

　　Object:

　　Registry key: HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun

　　Registry value: c51

　　Type: REG_SZ

　　Value: rundll32 C:windowssystem32c51.dll,Always

　　4、下载的广告程序会在后台开启网络线程刷流量。

　　解决方法：

　　1、下载SREng，重启计算机，按F8进安全模式。

　　2、用SREng删除启动项：

　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerRun

　　(注册表值) c51 = REG_SZ, "rundll32 C:windowssystem32c51.dll,Always"

　　3、删除文件，如果有：

　　(文件夹) C:WINDOWS

　　(+)(文件) 6771.exe, 53248 字节

　　(+)(文件) 761.bmp, 860160 字节

　　(+)(文件) 77f01.txt, 122880 字节

　　(文件夹) C:WINDOWSsystem32

　　(+)(文件) 3eb, 68 字节

　　(+)(文件) 44191.exe, 122880 字节

　　(+)(文件) 5441.dll, 53248 字节

　　(+)(文件) c51.dll, 860160 字节