Question

Worm.Win32. RavMon的行为分析

Answer 1

1、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\RavAV
键值: 字串: C:\WINNT\RavMon.exe
2、病毒尝试连接网络，尝试连接下地址:
3、开启本机一个随机端口并发送获得的计算机信息。如：计算机名、端口、版本信息等。
4、猜测该病毒的某些功能对应的python模块文件名：
终止进程对应的python模块名为：killProcName.pyo
url地址对应的python模块名为： urllib.pyo、urlparse.pyo
获取目标主机信息对应的python模块名为：os.pyo
http相关的python模块名为：httplib.pyo
删除cookiess对应的python模块名为：cookiess.pyo
base64/quopri编码功能对应的python模块名为：base64.pyo
cmd功能对应的python模块名为：cmd.pyo
修改注册表对应的python模块名为：copy_reg.pyo
ftp相关的python模块名为：ftplib.pyo
调用socket相关的python模块名为：socket.pyo
usb相关的python模块名为：usb.pyo
--------------------------------------------------------------------------------