Win32.Troj.AgentT.no.718996

这是一个木马程序。会在磁盘中释放出文件，会修改注册表。然后连接远程网址，上传用户系统信息，并等待黑客命令。

行为分析:

在磁盘中释放出以下文件:
C:\WINDOWS\SYSTEM32\rnmxajkl.sys
C:\WINDOWS\SYSTEM32\nhmxcjkl.dll
C:\WINDOWS\SYSTEM32\lpmxajkl.exe

在磁盘中删除了以下文件:
C:\WINDOWS\SYSTEM32\nhmxcjkl.dll
C:\WINDOWS\SYSTEM32\lpmxajkl.exe

在注册表中创建了以下信息:
"HKCR\CLSID\{37AC9076-C898-B098-D098-A18319080973}\InprocServer32"

在注册表中设置了以下信息:
"HKCR\CLSID\{37AC9076-C898-B098-D098-A18319080973}\InprocServer32" "" "C:\WINDOWS\SYSTEM32\nhmxcjkl.dll"
"HKCR\CLSID\{37AC9076-C898-B098-D098-A18319080973}\InprocServer32" "ThreadingModel" "Apartment"

病毒会连接作者指定的网址:
域名:"42.**.241.118"端口:80(TCP)
42.**.241.118/image/logo.jpg?queryid=80142

在系统中创建了以下进程:
病毒创建了一个CLSID为{FCFB3D23-A0FA-1068-A738-08002B3371B5}类名为VBRuntime的COM组件
病毒创建了一个CLSID为{E93AD7C1-C347-11D1-A3E2-00A0C90AEA82}类名为VBRuntime6的COM组件