Trojan.Win32.QiaoZhaz.c
病毒名称： Trojan.Win32.QiaoZhaz.c
病毒类型： 木马
文件 MD5： 6f904cd896df07bf731663537753449
公开范围： 完全公开
危害等级： 5
文件长度： 446,303 字节
感染系统： Win9X以上系统
开发工具： Microsoft Visual C++ 6.0
加壳类型 : 无
病毒描述：
该病毒属木马类，病毒图标为淡蓝色包装盒图标，名称为“邮址大全解压包.exe”用以迷
惑用户点击运行。病毒运行后弹出对话框，在敏感区域复制自身生成大量病毒文件；在启动文件
夹添加病毒文件，点击确定后自动注销，实现注销后启动；将屏幕保护文件更改为病毒文件，修
改屏幕保护时间为1分钟，使病毒具有较强的隐蔽性；将任务管理器文件替换为病毒文件，使用户
无法使用任务管理器结束病毒进程，在用户打开任务管理器时，实际上激活的是病毒；修改注册
表，添加启动项、创建服务，以达到随机启动的目的。删除“文件夹选项”中的“显示隐藏文件”选项，删除“文件夹选项”。删除开始菜单中的运行、关机、注销、搜索。修改TXT文件的文件
关联，打开任意该格式文件都将打开病毒文件。在每次开机时弹出系统提示，病毒运行时弹出注
销提示，提示内容相同用以对用户进行敲诈勒索，并删除非系统盘的文件。
行为分析：
1 、 病毒运行后复制自身到 %system32% 及相关文件夹下
%system32% 飞越星球 .scr
%system32%wins.com
%system32%dllcashaskmgr.exe
%system32%askmgr.exe
C:Documents and SettingsAll UsersApplication Data
Microsoftwin1ogon.exe
C:Documents and SettingsAdministrator 「开始」菜单 程序
启动 svchost.exe
2 、 修改注册表 ， 添加启动项 ：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun
键值 : 字串 : " svchost.exe "="C:Documents and SettingsAll UsersApplication DataMicrosoftwin1ogon.exe"
3 、 修改注册表 ， 创建服务 ：
服务名称：WINS （服务名后面有3个空格）
服务描述：WINS为客户提供系统域名解析服务
映像路径：%windir%system32wins.com
启动方式：自动
4 、 修改屏幕保护文件，及启动时间：
HKEY_CURRENT_USERControl PanelDesktop
键值 : 字串 : " SCRNSAVE.EXE "="%windir%system32 飞越星球 .scr"
HKEY_CURRENT_USERControl PanelDesktopScreenSaveTimeOut
新: 字符串 : "60"
旧: 字符串: "900"
5 、通过注册表对“文件夹选项”和其相关设置进行更改
删除如下项，删除“文件夹选项”中的“显示隐藏文件”选项，实现隐藏
具有隐藏文件属性的文件并锁定：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALL
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLCheckedValue
键值 : DWORD: 1 (0x1)
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLDefaultValue
键值 : DWORD: 2 (0x2)
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLHelpID
键值 : 字符串 : "shell.hlp#51105"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLHKeyRoot
键值 : DWORD: 2147483649 (0x80000001)
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLRegPath
键值 : 字符串 : "SoftwareMicrosoftWindowsCurrentVersion
ExplorerAdvanced"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLText
键值 : 字符串 : " 显示所有文件和文件夹 "
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLType
键值 : 字符串 : "radio"
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
ExplorerAdvancedFolderHiddenSHOWALLValueName
键值 : 字符串 : "Hidden"
修改如下项 ， 隐藏系统文件和已知文件的扩展名和 ： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
ExplorerAdvancedHidden
新 : DWORD: 2 (0x2)
旧 : DWORD: 1 (0x1)
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
ExplorerAdvancedHideFileExt
新 : DWORD: 1 (0x1)
旧 : DWORD: 0 (0)
创建如下项禁用 “ 文件夹选项 ”： HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersion
PoliciesExplorerNoFolderOptions
键值: DWORD: 1 (0x1)
6 、 修改txt文件的文件关联，更改为病毒文件：
HKEY_LOCAL_MACHINESOFTWAREClassesxtfileshellopencommand
键值 : 字串 : @="C:Documents and SettingsAll UsersApplication
DataMicrosoftwin1ogon.exe"
7 、 将任务管理器文件替换为病毒文件，使用户无法使用任务管理器结束病毒进程，同时运行
病毒文件，是感染机器恢复到被病毒感染的初始状态，使用户对病毒的处理前功尽弃。
8 、创建系统提示，在每次开机时弹出用以对用户进行敲诈勒索。
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
policiessystemlegalnoticecaption
新建键值: 字串: "警告:"
原键值: <未设置键值> HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersion
policiessystemlegalnoticetext
新建键值 : 字串 : " 发现您硬盘内曾使用过盗版了的我公司软件 ,
所以将您部份文件移到锁定了的扇区 , 若要解锁将文件释放 , 请电邮 liugongs19670519@yahoo.com.cn 购买相应的软件 "
原键值: <未设置键值>
注： %system32% 是一个可变路径。病毒通过查询操作系统来决定当前 windows 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:Winnt ， windows95/98/me/xp 中默认的安装路径是 C:Windows 。
--------------------------------------------------------------------------------
清除方案：
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 启动安天木防线的进程管理关闭病毒进程：
win1ogon.exe <路径：C:Documents and SettingsAll
UsersApplicationDataMicrosoftwin1ogon.exe>
svchost.exe <路径：C:Documents and SettingsAdministrator
「开始」菜单程序启动svchost.exe>
(2) 删除病毒文件：
%system32%飞越星球.scr
%system32%wins.com
%system32%dllcashaskmgr.exe
%system32%askmgr.exe
C:Documents and SettingsAll UsersApplication DataMicrosoftwin1ogon.exe
C:Documents and SettingsAdministrator「开始」菜单程序启动svchost.exe
(3) www.antiy.com/download/敲诈者病毒变种C专用修复工具.rar 下载敲诈者病毒变种C专用注册表修复工具。
(4) 双击“敲诈者病毒变种C专用注册表修复工具.reg”将其内容导入注册表。
(5) 将taskmgr.exe文件复制到C:windowssystem32目录下。