近日有许多网民和客户反应他们电脑中了7939这个新病毒，我们不得不把它的来源和处理方法公布以下，希望能给大家带来帮助。
档案编号：CISRT2006029
病毒名称：Trojan-Downloader.Win32.Agent.aqr（Kaspersky）
病毒别名：
病毒大小：31,744 字节
加壳方式：UPX
样本MD5：e7addcce5060ab1b9e4ecf62ef8f64e1
发现时间：2006.08
更新时间：2006.08.28
关联病毒：
传播方式：通过恶意网站传播，通过其它病毒/木马下载
技术分析
==========
Realplayer.exe运行后复制自身到系统目录%System%\Realplayer.exe，在%Windows%目录下生成bat批处理删除原文件：
CODE:[Copy to clipboard]:try
del "Realplayer.exe"
if exist "Realplayer.exe" goto try
del %0
Realplayer.exe释放%System%\brlmon.dll，尝试插入Explorer.exe进程。
创建启动项：
CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT\Windows\CurrentVersion\Winlogon]
"Shell"="Explorer.exe %System%\Realplayer.exe"
修改IE主页：
CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="http://www.7939.com/"
设置注册表信息：
CODE:[Copy to clipboard][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown\info]
"vvad"="0"
以上注册表信息和%System%\brlmon.dll文件大约每2秒会监视恢复。
这个东西会结束下列进程：
fint2005.exe
Unlocker.exe
unlockerassistant.exe
HijackThis.exe
DLLShow.exe
RogueCleaner.exe
DosTools.exe
Killbox.exe
uihost.exe
尝试关闭窗口：
瑞星注册表监控提示
主动防御 警报
AVP
访问网络，从update.Virussky.com获得信息，尝试从down.Virussky.com下载更新版本。
清除步骤
==========
1. 结束%System%\Realplayer.exe进程
2. 结束%Windows%\Explorer.exe进程
3. 通过任务管理器或其它进程管理工具把%Windows%\Explorer.exe再运行起来，这样%System%\brlmon.dll就没有被加载了
4. 删除文件：
%System%\Realplayer.exe
%System%\brlmon.dll
5. 删除病毒添加的启动项：
CODE:[Copy to clipboard][HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Realplayer.exe"="%System%\Realplayer.exe"
6. 删除病毒添加的注册表信息：
CODE:[Copy to clipboard][HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft NT]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RunDown]
7. 恢复IE主页
|
|
