首页篡改虫
病毒简介超级巡警团队监测到恶意程序Trojan.Win32.StartPage.sq正在传播。超级巡警建议用户使用超级巡警来防御查杀此类病毒。同时提醒广大用户及时更新病毒库，对该程序进行有效查杀。
病毒分析病毒标签：
病毒名称：Trojan.Win32.StartPage.sq
病毒别名：首页篡改虫
病毒类型：木马类
危害级别：2
感染平台：Windows
病毒大小：273,259 字节
S H A 1 ：2527a13b7bcc7b40953821ce40277b5ef1e6aa20
加壳类型：Rar
开发工具：Microsoft Visual C++ 6.0
病毒行为1、病毒运行后通过自解压脚本命令，解压病毒文件到：
Path=%windir%system32
自解压为以下病毒文件：
“hao123.zip”，“go.bat”，“hao123.exe”，“lnternet Explorer.lnk”，文件夹“1”，文件夹“2”，文件夹“3”
2、自解压的同时运行go.bat：
@echo off
start /min hao123.exe
3、病毒文件hao123.exe运行后，添加以下注册表项及键值来达到篡改主页等目的：
HKEY_CLASSES_ROOTCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand
数值数据 "C:Program FilesInternet Exploreriexplore.exe" http://www.5414.
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Start Page
数值数据: www.111333/?in=StarPage
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Search Page
数值数据:www.111333/?in=IESearch
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Search Bar
数值数据:www.111333/?in=IERSearch
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionExplorerHideDesktopIconsClassicStartMenu
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 1
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionExplorerHideDesktopIconsNewStartPanel
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 1
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
IEXPLORE.EXEshellopencommand
数值数据:
C:\Program FilesInternet Explorer
iexplore.exe http://www.111333/?in=startmenu
4、删除以下注册表项：
"reg delete HKEY_CLASSES_ROOTpiffile /v IsShortcut /f "
"reg delete HKEY_CLASSES_ROOTlnkfile /v IsShortcut /f "
5、删除以下文件：
del "%ALLUSERSPROFILE%..*Internet*.lnk" /s "
del "%ALLUSERSPROFILE%..*Internet*.url" /s "
6、分别复制解压出来的3个病毒文件夹内的文件到以下路径：
xcopy "1lnternet Explorer.lnk" "%ALLUSERSPROFILE%桌面" /k /c /q /r /y
xcopy "2lnternet Explorer.lnk" "%ALLUSERSPROFILE%「开始」菜单程序" /k /c /q /r /y
xcopy "3lnternet Explorer.lnk" "%AppData%MicrosoftInternet ExplorerQuick Launch" /k /c /q /r /y
7、强行结束以下进程：
taskkill /f /im explorer.exe
taskkill /f /im IEXPLORE.EXE
8、重命名以下文件，达到URL转向病毒指定网址的目的：
rename %windir%system32shdoclc.dll shlos.rar
rename %windir%system32hao123.zip shdoclc.dll
替换的shdoclc.dll文件的stringtable的76目录项下的1211号资源字符串，实现“当用户在IE地址栏输入错误的时候，转向病毒设置URL="http://www.2d2/?wd=%s&ie=utf-8&id=5"
9、cls清屏后，再打开explorer.exe：
"cls"
"%systemroot%explorer.exe"
解决方案推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
超级巡警下载地址：http://www.sucop/download/16.html
专杀下载地址：http://a1.sucop/killer/StartPage_killer.zip手工清除方法：1、结束病毒进程。打开超级巡警，选择进程管理功能，终止以下进程：
hao123.exe
2、删除病毒生成以下文件：
Path=%windir%system32
“go.bat”，“hao123.exe”，“lnternet Explorer.lnk”“hao123.zip”，文件夹“1”，文件夹“2”，文件夹“3”
3、把被病毒修改过的注册表项按照如下修改:
HKEY_CLASSES_ROOTCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand
数值数据 "C:Program FilesInternet Exploreriexplore.exe"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Start Page
数值数据: about:blank
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Search Page
数值数据:
http://www.microsoft/isapi/redir.dllprd=ie&;ar=iesearch
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionExplorerHideDesktopIconsClassicStartMenu
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 0
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionExplorerHideDesktopIconsNewStartPanel
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 0
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
IEXPLORE.EXEshellopencommand
数值数据:
"C:Program FilesInternet Exploreriexplore.exe"
4、删除以下注册表键值:
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
数值名称:Search Bar
数值数据:www.111333/?in=IERSearch
5、添加以下注册表项键值:
HKEY_CLASSES_ROOTpiffile /v IsShortcut /f
HKEY_CLASSES_ROOTlnkfile /v IsShortcut /f
6、新建文本文档写入如下内容，并保存为sucop.bat，运行
rename %windir%system32shlos.rar shdoclc.dll
rename %windir%system32shdoclc.dll sq.rar
7、删除以下文件:
xcopy "1lnternet Explorer.lnk" "%ALLUSERSPROFILE%桌面" /k /c /q /r /y
xcopy "2lnternet Explorer.lnk" "%ALLUSERSPROFILE%「开始」菜单程序" /k /c /q /r /y
xcopy "3lnternet Explorer.lnk" "%AppData%MicrosoftInternet ExplorerQuick Launch" /k /c /q /r /y
用正常文件来恢复以下文件:
%ALLUSERSPROFILE%..*Internet*.lnk
%ALLUSERSPROFILE%..*Internet*.url
安全建议1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
2、根据实际安全级别需要适当考虑选用防火墙，并进行正确的设置。
3、使用超级巡警的补丁检查功能，及时安装系统补丁。
4、禁用或删除不必要的的帐号，对管理员帐号设置一个强壮的密码。
5、禁用不必要的服务。
6、不要使用IE内核的浏览器。
7、不要随便打开不明来历的电子邮件，尤其是邮件附件。
8、不要随意下载不安全网站的文件并运行。
9、不要随便登陆不明网站，特别不要随意登陆需要自己银行帐号或手机及计算机系统帐号的不
明网站。
10、不要轻易打开即时通讯工具中发来的链接或可执行文件。
附注：%System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%System，在
WindowsNT/2000/XP/2003/VISTA中该变量指%Windir%System32。其它：
%SystemDrive% 系统安装的磁盘分区
%SystemRoot% = %Windir% WINDODWS系统目录
%ProgramFiles%应用程序默认安装目录
%AppData% 应用程序数据目录
%CommonProgramFiles%公用文件目录
%HomePath% 当前活动用户目录
%Temp% =%Tmp% 当前活动用户临时目录
%DriveLetter% 逻辑驱动器分区
%HomeDrive% 当前用户系统所在分区