Win32.Backdoor.Dahorse

病毒名称:

Win32.Backdoor.Dahorse

类别： 蠕虫病毒

病毒资料：

破坏方法：

这是一个感染PE格式exe文件的后门病毒。

1.开辟单独线程感染下列系统exe文件，增加1EC00字节。

regedit.exe

notepad.exe

scanregw.exe

IsUninst.exe

calc.exe

clipsrv.exe

dxdiag.exe

stimon.exe

2.释放下列文件到系统中。

XPLEXT.DLL

接管NTDLL.DLL的 NtQuerySystemInformation函数，取得系统信息。

接管Kernel32.dll的OpenProcess函数，试图保护病毒进程不被终止。

TSKMAN.DLL

键盘钩子的主函数。追加键盘操作内容到系统目录的KEYB.DAT。

DARK_HORSE.EXE 病毒自身。

3.病毒不停的创建、退出进程，采用这种方式驻留内存。

每隔25秒钟测试一次网络状态。如果正常连接，偷偷连接远程机器，等待远程控制命令。可以枚举系统文件、各种信息、把记录结果发送到指定IP。

病毒的清除法：

使用光华反病毒软件，彻底删除。

病毒演示：

病毒FAQ：

Windows下的PE病毒。

发现日期：

2003-9-29