Trojan-Downloader.Win32.Delf.aok
毒标签：
病毒名称： Trojan-Downloader.Win32.Delf.aok
病毒类型： 木马
文件 MD5： 7d81bc7a4cc39145a7d05b31f4474207
公开范围： 完全公开
危害等级： 中
文件长度： 12,383 字节
感染系统： Windows98以上版本
开发工具： Borland Delphi 6.0 - 7.0
加壳类型： 未知壳
命名对照： Symentec[Downloader]
Mcafee[无]
病毒描述：
该病毒属木马类，病毒运行后，释放病毒文件%system32% ntdhcp.exe用来记录键盘，并在释放指向MS-DOS程序的快捷方式%Program Files%Common Files INTEXPLOREt，在%Program Files%Common Files下创建文件夹updata，该病毒运行后连接网络，开启本地端口，下载病毒文件并存放在文件夹%Program Files%Common Filesupdata中，该病毒运行后，所下载的病毒文件自动运行，会在用户机器上开启后门，盗取QQ、魔兽等游戏的账号和密码。该病毒对用户有一定危害。
行为分析：
1、该病毒运行后，释放病毒文件：
病毒路径及病毒名 病毒功能
%system32%
tdhcp.exe
%Program Files%Common FilesINTEXPLOREt
(键盘记录)
(指向MS-DOS程序的快捷方式)
2、创建文件夹%Program Files%INTEXPLORE用来保存该病毒连接网络时下载的病毒文件。
3、该病毒运行后，连接网络，开启端口，并下载病毒文件，并运行：
协议：TCP
IP：218.16.117.82 （广东省东莞市）
随机开启1024以上端口，如：1088、1091
下载病毒文件到%Program Files%Common Filesupdata：
病毒路径及原病毒名 病毒名
%Program Files%Common Filesupdatapp2.exe
%Program Files%Common Filesupdatapp3.exe
%Program Files%Common Filesupdatapp4.exe
%Program Files%Common Filesupdatapp5.exe
(Trojan-PSW.Win32.QQRob.fb)
(Backdoor.Win32.Hupigon.azq)
(Trojan-Clicker.Win32.Delf.bt)
(Trojan-PSW.Win32.WOW.bt) ]
用为点主动防御软件或超级巡警可以杀毒。建议在安全模式下进行，因为此病毒会衍生。
病毒文件被下载后，自动运行，在用户机器上开启后门，盗取QQ、魔兽等游戏的账号和密码。
注：%Program Files%是一个可变路径。病毒通过查询操作系统来决定当前program Files文件夹的位置。Windows操作系统中默认的安装路径是C:Progame Files 。
% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案 ：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%system32%
tdhcp.exe
%Program Files%Common FilesINTEXPLOREt
%Program Files%Common Filesupdatapp2.exe
%Program Files%Common Filesupdatapp3.exe
%Program Files%Common Filesupdatapp4.exe
%Program Files%Common Filesupdatapp5.exe