瑞星卡卡安全论坛

今天，有个网友上传了Netlib.exe的样本（http://forum.ikaka.com/topic.asp?board=28&artid=6733470，1楼）。在我的系统中运行这个Netlib.exe，观察了一下，有以下发现：

这个后门（ Backdoor.Win32.Codbot.ag）的一个特点是——注册为系统服务。感染后，如果没有其它第三方工具辅助，无法在WINDOWS下结束病毒进程Netlib.exe（图1）。
但是，这个后门也有“软肋”——缺乏注册表项的监控保护。也就是说——在不结束病毒进程的条件下，可以删净这个后门添加的注册表项（图2）。
删除那些注册表项后，重启系统，直接删除%system%下的病毒文件Netlib.exe即可（图3）。

图1

附件: 1558472005710231014.jpg

图2

附件: 1558472005710231140.jpg

图3

附件: 1558472005710231229.jpg

值得关注.

杀毒后，运行WINDOWS UPATE，去微软打补丁。

现在Netlib.exe的有变化吗？我在Sophos上看的可能不止这些：
http://www.sophos.com/virusinfo/analyses/trojcratera.html

有agt0c1a.dll
agt0c1b.dll
agt0c1c.dll
c_951.nls
c_952.nls
clearlogs.exe
crc.exe
fport.exe
instsrv.exe
msdxm32.ocx
msidtc.dll
msiloader.dll
netlib.exe
netlib.ini
netlib.reg
regini.exe
service.exe
start.cmd
这么些呢

引用:

【天天泡泡的贴子】现在Netlib.exe的有变化吗？我在Sophos上看的可能不止这些： 有agt0c1a.dll agt0c1b.dll agt0c1c.dll c_951.nls c_952.nls clearlogs.exe crc.exe fport.exe instsrv.exe msdxm32.ocx msidtc.dll msiloader.dll netlib.exe netlib.ini netlib.reg regini.exe service.exe start.cmd 这么些呢 ...........................

http://forum.ikaka.com/topic.asp?board=28&artid=6733470
我拿到的是这个帖子1楼的样本。

【回复“天天泡泡”的帖子】
也许是因为我不是自然感染的，系统中并未出现C:\<Windows folder>\system32\tcp%ip.[00021401-0000-0000-c000-000000000046] 文件夹，因而，系统中也就没有哪一串病毒文件。

谢谢斑竹下面正有个人叫家里中毒了~~呵呵如果可以话我想问个问题我家病毒文件自己影身了怎么看到影藏的文件夹谢谢老斑