Win32.Troj.Downloader.dk
病毒别名： 处理时间：2006-08-23 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒为Windows平台下的其它木马下载器，病毒运行后将释放出伪系统正常文件，然后运行释放出的程序，释放出的程序运行后将下载代码注入系统正常程序进程进行下载其它病毒。
病毒主要通过软件捆绑方式进行传播。
1、病毒运行后释放出以下伪系统正常文件:
%Windir%system32dserver.exe
2、病毒添加如下注册表项，使病毒开机后自动运行:
[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon]
"Shell" = "Explorer.exe %Windir%system32dserver.exe"
[HKEY_CURRENT_USERSoftWareMicrosoftWindowsCurrentVersionRun]
"dserver.exe" = "%Windir%systemdserver.exe"
3、病毒通过删除以下注册表项使病毒生成的临时程序可以被正常执行:
主键:[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldApp]
名称:NoRealMode
4、病毒运行过程中通过查找窗体类名为"Shell_TrayWnd"来定位Explorer进程，然后将下载代码注入该进程中进行下载其它病毒。
5、网络可用时病毒下载以下病毒程序:
http://www.56*.net.cn/mm/1.exe
http://www.56*.net.cn/mm/2.exe
http://www.56*.net.cn/mm/3.exe
http://www.56*.net.cn/mm/4.exe
http://www.56*.net.cn/mm/5.exe
http://www.56*.net.cn/mm/6.exe
http://www.56*.net.cn/mm/7.exe
http://www.56*.net.cn/mm/8.exe
http://www.56*.net.cn/mm/9.exe
http://www.56*.net.cn/mm/10.exe
http://www.56*.net.cn/mm/11.exe
http://www.56*.net.cn/mm/12.exe
http://www.56*.net.cn/mm/13.exe
http://www.56*.net.cn/mm/14.exe
http://www.56*.net.cn/mm/15.exe
http://www.56*.net.cn/mm/16.exe
http://www.56*.net.cn/mm/17.exe
http://www.56*.net.cn/mm/18.exe
http://www.56*.net.cn/mm/19.exe
http://www.56*.net.cn/mm/20.exe
http://www.56*.net.cn/mm/21.exe
http://www.56*.net.cn/mm/22.exe
http://www.56*.net.cn/mm/23.exe
http://www.56*.net.cn/mm/24.exe
http://www.56*.net.cn/mm/25.exe
http://www.56*.net.cn/mm/26.exe
http://www.56*.net.cn/mm/27.exe
http://www.56*.net.cn/mm/28.exe
http://www.56*.net.cn/mm/29.exe
http://www.56*.net.cn/mm/30.exe