Win32.Troj.Downloader.ho
病毒别名： 处理时间：2007-04-23 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
这是一个下载器，连接网络下载多种木马病毒。
1、复制自身到如下路径：
C:Program FilesInternet ExplorerPLUGINSBinNice.bak
释放病毒DLL文件到如下路径：
C:Program FilesInternet ExplorerPLUGINSBinNice.dll
2、修改注册表，添加如下表项，是病毒每次系统启动时加载自身：
HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}(Default)
HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}InProcServer32
(Default)="C:Program FilesInternet ExplorerPLUGINSBinNice.dll"
HKCRCLSID{06E6B6B6-BE3C-6E23-6C8E-B833E2CE63B8}InProcServer32
"ThreadingModel"="Apartment"
3、安装全局钩子，将病毒dll文件注入系统中存在的进程。
4、当发现注入的进程为explorer.exe或VerCLSID.exe时，连接网络到如下网址下载病毒到本地并运行：
h**p://7y7.us/s**n/csrss.exe
h**p://7y7.us/s**n/svchost32.exe
h**p://7y7.us/s**n/smss.exe
h**p://7y7.us/s**n/services.exe
h**p://7y7.us/s**n/svchost.exe
h**p://7y7.us/s**n/conime.exe
h**p://7y7.us/s**n/ctfmon.exe
h**p://7y7.us/s**n/mmc.exe
h**p://7y7.us/s**n/iexplore.exe
h**p://7y7.us/s**n/srogm.exe
5、向可移动磁盘中复制如下病毒文件，传播自身：
Ghost.pif
autorun.inf