Win32.Troj.Dropper.v

病毒别名： 处理时间：2007-01-11 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个敲诈者木马。运行该病毒删除非系统盘和系统盘指定文件夹里的所有文件，打开一个htm脚本，并弹出警告框说电脑用户破坏了软件的许可协议，要求和病毒作者联系。每次重起电脑都会再弹出一个标题为严重警告的对话框，说将部分文件锁起来了，其实是病毒直接删除掉了，当然中毒用户也不要荒，给删掉的数据可以使用金山数据安全工具或其他数据恢复工具修复，但在未修复数据期间最好不向要修复磁盘写如任何文件，以免进一不破坏数据造成更大损失。制造并使用该类病毒敲诈电脑用户属于违法行为，建议中毒用户向公安机关报案并协助警方破案。若电脑中数据比较重要则请专业人员做修复工作。

1、生成的文件

%Program Files%Internet Explorerfile.htm

%Program Files%Internet Explorerfile.exe

%DOCUME~1%ADMINI~1LOCALS~1TempE_4krnln.fnr

%DOCUME~1%ADMINI~1LOCALS~1TempE_4shell.fne

%SystemRoot%system321sass.exe

%Documents and Settings%administratorApplication DataMMC.exe

%Documents and Settings%administratorApplication DataMicrosoftwin1ogon.exe

%Documents and Settings%administrator「开始」菜单程序启动MMC.exe.lnk

2、添加启动项

HKLMSoftwareMicrosoftWindowsCurrentVersionRun

"svchost.exe" = "%Documents and Settings%administratorApplication Data\MMC.exe"

C:Documents and Settingsadministrator「开始」菜单程序启动MMC.exe.lnk

3、修改exe，txt文件关联

HKCRexefileshell

unascommand

"(Default)" = "C:WINNTsystem321sass.exe"

HKCRxtfileshellopencommand

"(Default)" = "%Documents and Settings%administratorApplication DataMicrosoftwin1ogon.exe"

4、设置系统总是隐藏文件及隐藏扩展名

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced

"Hidden" = "0x2"

HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHidden

"SHOWALL" = "0xE21BD500"

HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced

"HideFileExt" = "0x1"

5、添加注册表信息，开机进桌面是弹出对话框

HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem

"legalnoticecaption" = "严重警告："

HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem

"legalnoticetext" = " 您使用了经过反汇编的软件，此行为严重对软件作者侵权！所以部份文件已隐藏在锁定的扇区，如需解锁释放文件，请联系yibasoftware@yahoo.com.cn获取相应的解锁软件，否则隐藏的文件将永远尘封起来！即使格式化也于事无补！"