文件名称：oqtxde.chm

　　文件大小：58,368 bytes

　　AV命名：Trojan-Clicker.Win32.Costrat.es

　　加壳方式：未

　　文件MD5：DF5EC5ED3C24C790D82CB1CCE5568074

　　病毒类型：后门

　　行为分析：

　　1、释放文件：

　　c:WindowsHelpoqtxde.chm

　　58,368 bytes

　　2、注册系统服务，开机启动：

　　[HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesoqtxdeSecurity]

　　Security = 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C

　　00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00

　　60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00

　　00 18 00 FF 01 0F 0

　　[HKEY_LOCAL_MACHINESYSTEMControlSet001Servicesoqtxde]

　　Type = 0x00000001

　　Start = 0x00000001

　　ErrorControl = 0x00000000

　　ImagePath = "%Windir%Helpoqtxde.chm"

　　ExtParamD = 55 FB A9 96 99 32 11 3E 00 00

　　3、修改Services.exe内存，并把自己代码注入。

　　4、连接208.**.169.1，可能会下载其他木马或被利用为跳板。

　　解决方法：

　　1、重启计算机，按F8进入安全模式。

　　2、删除文件：c:WindowsHelpoqtxde.chm

　　注意这个名字可能不固定。不过生成日期比较靠后，是58,368字节

　　3、打开注册表，删除该启动项：oqtxde