TrojanClicker.Clickaire.c
TrojanClicker.Clickaire.c
病毒长度：不定
病毒类型：木马
影响系统：Win9X/2000/XP/NT/Me
TrojanClicker.Clickaire.c更改IE默认页、搜索页使其连接到一些色情网站。
此病毒一旦运行，有如下操作：
1.生成文件Excel10.dll，系统不同，路径不同：
Windows 95/98/Me：
C:WindowsApplication DataMicrosoftOfficeExcel10.dll
Windows NT/2000/XP：
C:Documents and Settings<user name>Application DataMicrosoftOfficeExcel10.dll
并注册为浏览器的帮助对象，且IE需要4.0以上的版本。
2.修改主机文件使其指向特定的网站。
3.在注册表HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain下添加Local Page="http:/ /www.idgsearch.com/"
Search Page="http:/ /www.idgsearch.com/"
Search Page_bak="http:/ /www.idgsearch.com/"
SearchURL="http:/ /www.idgsearch.com/"
Start Page="http:/ /www.idgsearch.com/"
Start Page_bak="http:/ /www.idgsearch.com/"
Search Bar="http:/ /www.2020search.com/search/9884/search.html"键值。
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch
HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerSearch下添加CustomizeSearch="http:/ /www.idgsearch.com/"
SearchAssistant="http:/ /www.2020search.com/search/9884/search.html"键值。
4.在注册表下创建如下键：
HKEY_CLASSES_ROOTCLSID{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}
HKEY_CLASSES_ROOTInterface{212552CF-D5B0-49F0-961D-95CA146CDE03}
HKEY_CLASSES_ROOTSearchWord.ExcelExport
HKEY_CLASSES_ROOTSearchWord.ExcelExport.1
HKEY_CLASSES_ROOTTypeLib{FB19BC08-E664-462C-909B-3E9C3F4FF90E}
HKEY_LOCAL_MACHINESoftwareCLASSESCLSID{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972
HKEY_LOCAL_MACHINESoftwareCLASSESInterface{212552CF-D5B0-49F0-961D-95CA146CDE03}
HKEY_LOCAL_MACHINESoftwareCLASSESSearchWord.ExcelExport
HKEY_LOCAL_MACHINESoftwareCLASSESSearchWord.ExcelExport.1
HKEY_LOCAL_MACHINESoftwareCLASSESTypeLib{FB19BC08-E664-462C-909B-3E9C3F4FF90E}
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorer
Browser Helper Ojects{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}
5.搜索下列文件，一旦发现立即删除：
Bootconf.exe Browserhelper.dll Ctfmon32.exe Default.css
Dnse.dll Dnserr.dll Dnsrelay.dll Dreplace.dll
Iedll.exe Ld.exe Loader.exe Msspi.dll Mssys.exe
My.css Svc.exe Svchost32.exe Svcinit.exe
Svcpack.exe Sys.reg Winlink.dll
Winshow.dll Xplugin.dllFontsMsoffice.hta TempAddclass.exe
Weboslogo.bmp Webwin.def WinshowWinshow.dll
6.删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce下的nvstart
7.删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下的AddClass CTFMON32.EXE iedll Internat Conf loader
Msoffice mssys nvstart svc svchost.exe sys
sysPnP Tapicfg.exe等。