关于剪贴板内不断出现“中国网络游戏木马外挂黑客技术大全.."的病毒分析

作者：清新阳光                                              ( [url]http://hi.baidu.com/newcenturysun[/url] )
                                      

样本来自卡卡社区“日不懂了” 在此表示感谢

具体分析
File: SFF.exe
Size: 36864 bytes
File Version: 2.00.0003
MD5: 248C496DAFC1CC85207D9ADE77327F8B
SHA1: B32191D44382ED926716671398809F88DE9A9992
CRC32: 8C51AAAB
编写语言：Microsoft Visual Basic 5.0 / 6.0

生成如下文件
%system32%\svchost.com

在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下面添加

添加键值svchost 指向%system32%\svchost.com

达到开机启动的目的

各个分区根目录下面生成SFF.exe和autorun.inf
达到通过U盘等移动存储传播的目的

不断向剪贴板里面写入
“中国网络游戏木马外挂黑客技术大全 [url]http://www.hack1314.com[/url] 咨询QQ：39722181”的信息

病毒体内有字样 “P~,.傻*中..一个痛恨中加的愤青之作”

清除办法：

启动计算机进入安全模式
(开机后不断 按F8键    然后出来一个高级菜单 选择第一项 安全模式 进入系统)

打开sreng （[url]http://download.kztechs.com/files/sreng2.zip[/url]）
启动项目    注册表 删除如下项目
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
      <svchost><C:\WINDOWS\system32\svchost.com>    [NOBODY]

双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
点击    菜单栏下方的 文件夹按钮（搜索右边的按钮）
右键点击C盘盘符 （系统盘） 单击“打开” 打开C盘 （系统盘）

删除如下文件
%system32%\svchost.com
SFF.exe
autorun.inf

右键点击其他盘盘符 单击“打开” 打开其他盘
删除其他盘根目录下的
SFF.exe和
autorun.inf