TrojanClicker.Clickaire.c

TrojanClicker.Clickaire.c

病毒长度：不定

病毒类型：木马

影响系统：Win9X/2000/XP/NT/Me

TrojanClicker.Clickaire.c更改IE默认页、搜索页使其连接到一些色情网站。

此病毒一旦运行，有如下操作：

1.生成文件Excel10.dll，系统不同，路径不同：

Windows 95/98/Me：

C:WindowsApplication DataMicrosoftOfficeExcel10.dll

Windows NT/2000/XP：

C:Documents and Settings<user name>Application DataMicrosoftOfficeExcel10.dll

并注册为浏览器的帮助对象，且IE需要4.0以上的版本。

2.修改主机文件使其指向特定的网站。

3.在注册表HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain

HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain下添加Local Page="http:/ /www.idgsearch.com/"

Search Page="http:/ /www.idgsearch.com/"

Search Page_bak="http:/ /www.idgsearch.com/"

SearchURL="http:/ /www.idgsearch.com/"

Start Page="http:/ /www.idgsearch.com/"

Start Page_bak="http:/ /www.idgsearch.com/"

Search Bar="http:/ /www.2020search.com/search/9884/search.html"键值。

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch

HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerSearch下添加CustomizeSearch="http:/ /www.idgsearch.com/"

SearchAssistant="http:/ /www.2020search.com/search/9884/search.html"键值。

4.在注册表下创建如下键：

HKEY_CLASSES_ROOTCLSID{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}

HKEY_CLASSES_ROOTInterface{212552CF-D5B0-49F0-961D-95CA146CDE03}

HKEY_CLASSES_ROOTSearchWord.ExcelExport

HKEY_CLASSES_ROOTSearchWord.ExcelExport.1

HKEY_CLASSES_ROOTTypeLib{FB19BC08-E664-462C-909B-3E9C3F4FF90E}

HKEY_LOCAL_MACHINESoftwareCLASSESCLSID{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972

HKEY_LOCAL_MACHINESoftwareCLASSESInterface{212552CF-D5B0-49F0-961D-95CA146CDE03}

HKEY_LOCAL_MACHINESoftwareCLASSESSearchWord.ExcelExport

HKEY_LOCAL_MACHINESoftwareCLASSESSearchWord.ExcelExport.1

HKEY_LOCAL_MACHINESoftwareCLASSESTypeLib{FB19BC08-E664-462C-909B-3E9C3F4FF90E}

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorer

Browser Helper Ojects{17DA0C9E-4A27-4ac5-BB75-5D24B8CDB972}

5.搜索下列文件，一旦发现立即删除：

Bootconf.exe Browserhelper.dll Ctfmon32.exe Default.css

Dnse.dll Dnserr.dll Dnsrelay.dll Dreplace.dll

Iedll.exe Ld.exe Loader.exe Msspi.dll Mssys.exe

My.css Svc.exe Svchost32.exe Svcinit.exe

Svcpack.exe Sys.reg Winlink.dll

Winshow.dll Xplugin.dllFontsMsoffice.hta TempAddclass.exe

Weboslogo.bmp Webwin.def WinshowWinshow.dll

6.删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRunOnce下的nvstart

7.删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun下的AddClass CTFMON32.EXE iedll Internat Conf loader

Msoffice mssys nvstart svc svchost.exe sys

sysPnP Tapicfg.exe等。