TrojanDropper.Ekafod.fq“埃卡”變種fq是“??ā奔易逯械淖钚鲁蓡T之一,采用“Microsoft Visual C++ 6.0”編寫,經(jīng)過加殼保護(hù)處理?!鞍?ā弊兎Nfq運(yùn)行時(shí),會在被感染系統(tǒng)的“%SystemRoot%system32”和“%SystemRoot%system32dllcache”文件夾下分別釋放惡意DLL組件“ouyn1.dll”。在被感染系統(tǒng)的“%SystemRoot%system32”文件夾下釋放惡意DLL組件“ghjik.dll”,并將其注冊為BHO。其還會番禺網(wǎng)頁設(shè)計(jì)在該文件夾下釋放惡意程序“arxkix.exe”并調(diào)用運(yùn)行。釋放完成后,原病毒程序會釋放批處理程序“375O540.bat”并調(diào)用運(yùn)行,以此消除痕跡。“??ā弊兎Nfq運(yùn)行時(shí),會在被感染系統(tǒng)的后臺連接駭客指定的站點(diǎn)“http://www.niu*dou.com/web/download/”,下載惡意程序“runie.dll”、“NoViewRun2.dll”并自動調(diào)用運(yùn)行。其所下載的惡意程序可能為網(wǎng)絡(luò)游戲盜號木馬、遠(yuǎn)程控制后門或惡意廣告程序(流氓軟件)等,致使用戶面臨更多的威脅?!鞍?ā弊兎Nfq還會在當(dāng)前系統(tǒng)運(yùn)行的進(jìn)程中查找是否存在“ravmond.exe”、“360tray.exe”,如果發(fā)現(xiàn)則會將其強(qiáng)行關(guān)閉,以此達(dá)到自我保護(hù)的目的。另外,“埃卡”變種fq會通過在被感染系統(tǒng)注冊表啟動項(xiàng)中添加鍵值的方式實(shí)現(xiàn)開機(jī)自啟。