修改dns
超级巡警团队监测到恶意程序Trojan.Win32.DNSChanger.erp,该病毒运行后释放文件修改dns设置，将一些正规网址解析成黑客构造的钓鱼网址进行访问，修改的dns服务器一般在国外。
一、病毒相关分析：
病毒标签：
病毒名称：Trojan.Win32.DNSChanger.erp
病毒类型：木马下载者
危害级别：3
感染平台：Windows
病毒大小：175,094字节
Md5 ：992066EAE44F93D361B9B16F02F539D7
加壳类型：未知
开发工具：未知
病毒行为：
1、病毒运行以后释放副本和其他病毒。
%temp%＼notepad.exe
%temp%＼calc.exe
%systemroot%＼kdxxx.exe(xxx为随机的三位小写字母)
2、添加注册表。
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run "kdxxx.exe" Type: REG_SZ Data: %systemroot%＼kdxxx.exe
HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon System Type: REG_SZ Data: kdxxx.exe
3、寻找并结束ieuser.exe进程
4、修改dns设置为“85.255.114.35,85.255.112.13”
5、注入csrss.exe，通过csrss.exe注入系统其他进程,注入代码会进行一些病毒操作，如循环修改dns设置
二、解决方案
推荐方案：
安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
超级巡警下载地址：http://download.pchome.net/utility/antivirus/trojan/detail-33842.html
手工清除方法：
1、删除病毒添加的注册表键值
删除HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼Windows＼CurrentVersion＼Run "kdxxx.exe"
清空HKEY_LOCAL_MACHINE＼SOFTWARE＼Microsoft＼WindowsNT＼CurrentVersion＼Winlogon System
2、重启系统后删除病毒生成的文件。
%SystemRoot%＼system32＼kdxxx.exe
3、控制面板-网络连接-Internet(TCP/IP)属性-修改dns设置为自动获取或者手动输入一个正常的dns服务器地址
网友评论