Trojan.Win32.VB.ca
病毒名称： Trojan.Win32.VB.ca
中文名称： 三叶草
病毒类型： 木马
文件 MD5： 8F5517957147CC911585679F9745BAA4
公开范围： 完全公开
危害等级： 3
文件长度： 81,920 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： 无
病毒描述：
该病毒属木马类，病毒图标为卡通人物图标，用以迷惑用户点击运行。病毒运行衍生病毒文件到 %system32% 下，文件名为 haha.exe ；修改注册表，添加启动项，以达到随机启动的目的；隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项、查找项、文档项，隐藏部分用户的关机、 注销、隐藏 IE 工具栏选项；修改 IE 标题栏。
行为分析：
1 、病毒运行后衍生病毒文件到 %system32% 下，文件名为 haha.exe
%system32%haha.exe
2 、修改注册表，添加启动项，以达到随机启动的目的：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunServices
新建键值 : 字串 : "haha"="haha.exe"
3 、隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项，、查找项、文档项，隐藏部分
用户的关机、注销、隐藏 IE 工具栏选项；修改 IE 标题栏：
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoDrives
新建键值 : DWORD: 4294967295 (0xffffffff)
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoFind
新建键值 : DWORD: 1 (0x1)
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoRecentDocsMenu
新建键值 : DWORD: 1 (0x1)
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoRun
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoClose
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoFavoritesMenu
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoLogOff
新建键值 : 类型 : REG_BINARY: 01 00 00 00
HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoClose
新建键值 : DWORD: 1 (0x1)
HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoFavoritesMenu
新建键值 : DWORD: 1 (0x1)
HKEY_USERSS-1-5-18SoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoLogOff
新建键值 : 类型 : REG_BINARY: 01 00 00 00
4 、修改 IE 标题栏：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftInternet ExplorerMain
新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫所侵蚀 ,
请下载杀虫剂在 http://askwww.%s.com"
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:WinntSystem32 ， windows95/98/me 中默认的安装路径是 C:WindowsSystem ， windowsXP 中默认的安装路径是 C:WindowsSystem32 。
--------------------------------------------------------------------------------
清除方案：
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用 安天木马防线 “进程管理”关闭病毒进程。
(2) 删除病毒文件：
%system32%haha.exe
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoDrives
新建键值 : DWORD: 4294967295 (0xffffffff)
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoFind
新建键值 : DWORD: 1 (0x1)
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoRecentDocsMenu
新建键值 : DWORD: 1 (0x1)
HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoRun
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoClose
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoFavoritesMenu
新建键值 : DWORD: 1 (0x1)
HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoLogOff
新建键值 : 类型 : REG_BINARY: 01 00 00 00
HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoClose
新建键值 : DWORD: 1 (0x1)
HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoFavoritesMenu
新建键值 : DWORD: 1 (0x1)
HKEY_USERSS-1-5-18SoftwareMicrosoftWindows
CurrentVersionPoliciesExplorerNoLogOff
新建键值 : 类型 : REG_BINARY: 01 00 00 00
HKEY_LOCAL_MACHINESOFTWAREMicrosoft
Internet ExplorerMain
新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫
所侵蚀 , 请下载杀虫剂在 http://askwww.%s.com" >