8749病毒分析及解决方案

8749病毒是一个典型的病毒化的流氓软件，中8749病毒后的典型现象是主页被锁定为www.8749.com。在短短几天之间，8749病毒已经出现了数个变种。以变种出现的速度来看，估计该流氓软件会很快在互联网大规模传播。 　

8749病毒行为：

　　1.使用删除文件，移动文件，写入空信息等三种方式清空HOST文件

　　2.病毒利用文件占用技术，实现对自身程序文件的保护

　　3.修改注册表键，禁用XP的系统还原

　　Software/Microsoft/Internet Explorer/Search

　　Software/Microsoft/Internet Explorer/Main

　　4.添加注册表启动项，因病毒名是随机生成，不同的电脑，感染的文件并不完全一致。修改注册表HKLM/software/microsoft/windows/currentversion/runonce，实现自动注册组件。

　　5.破坏安全模式（清空注册表SAFEMODE下的所有项目），使你不能进入安全模式调试系统。

　　6.终止所有包含下列字符的窗口的进程。

　　btbaicai

　　wopticlean

　　360safe

　　8749病毒

　　8749专杀

　　卡卡

　　安全卫士

　　IE修复

　　8749.com病毒

　　清除8749

　　删除8749

　　7.子DLL，每20分钟从http://up.yinlew.com:8080/hellohost515.ini?p=%s&t=%d下载一个要阻止访问的网站列表，下载后的文件保存在%sys32dir%/andttrs文件中。类似以下内容：

　　125.91.1.20 www.kzdh.com

　　125.91.1.20 www.7255.com

　　125.91.1.20 www.7322.com

　　125.91.1.20 www.7939.com

　　125.91.1.20 www.piaoxue.com

　　125.91.1.20 www.feixu.net

　　125.91.1.20 www.6781.com

　　125.91.1.20 www.7b.com.cn

　　125.91.1.20 www.918188.com

　　125.91.1.20 hao.allxue.com

　　125.91.1.20 good.allxue.com

　　125.91.1.20 baby.allxue.com

　　125.91.1.20 www.allxue.com

　　125.91.1.20 about.lank.la

　　125.91.1.20 www.x114x.com

　　125.91.1.20 www.37ss.com

　　125.91.1.20 www.7k.cc

　　125.91.1.20 www.73ss.com

　　125.91.1.20 www.hao123.com

　　125.91.1.20 www.81915.com

　　125.91.1.20 www.9991.com

　　125.91.1.20 www.my123.com

　　125.91.1.20 www.haokan123.com

　 125.91.1.20 www.5566.net

　　125.91.1.20 www.gjj.cc

　　125.91.1.20 www.2345.com

　　125.91.1.20 www.123wa.com

　　125.91.1.20 www.ku886.com

　　125.91.1.20 www.5icrack.com

[1] [2]