病毒标签病毒名称： Trojan-Dropper.Win32.Small.cub
病毒类型：木马类
文件 MD5： 285B3DF663A4EA86349B0AB54B297A6F
公开范围：完全公开
危害等级： 4
文件长度： 1,227,891 字节
感染系统： Windows98以上版本
开发工具：易语言
加壳类型： 无
病毒描述该病毒属于刷流量类木马，病毒运行后，判断当前程序的文件名和路径是否为%System32%XP-C300C3AC.EXE,如果不是该路径和文件名，将调用资源管理器打开当前目录下和自己同名的文件夹；若文件夹不存在将弹出无法找到文件夹的错误提示，复制自身到%System32%目录下，并衍生病毒配置文件以及易语言运行所需要的库文件；修改注册表添加启动项，使病毒文件随系统启动而运行；连接网络访问指定站点，为被访问的网站刷流量；被感染计算机接入移动磁盘后，病毒进程将遍历移动磁盘根目录下的文件夹，衍生自身到移动磁盘根目录下，更名为检测到的文件夹名称，修改原文件夹属性为隐藏，使用户在其他计算机使用移动磁盘打开其文件夹时运行病毒，以达到移动磁盘传染病毒的目的；病毒运行完毕后删除自身。
被刷网站（http://hi.baidu.com/sile*****）约以每秒10次访问量的速度刷新，其中一篇帖子的访问量高达500，000以上，对网络的正常使用有比较严重的影响。
行为分析本地行为：
1、文件运行后会释放以下文件：
%System32%com.run 266,240 字节
%System32%dp1.fne 114,688 字节
%System32%eAPI.fne 323,584 字节
%System32%internet.fne 184,320 字节
%System32%krnln.fnr 1,097,728 字节
%System32%og.dll 692 字节
%System32%og.edt 512 字节
%System32%RegEx.fne 167,936 字节
%System32%shell.fne 40,960 字节
%System32%spec.fne 73,728 字节
%System32%ul.dll 2,404 字节
%System32%XP-C300C3AC.EXE 1,227,891 字节
2、新增注册表：
[HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun]
注册表值: "XP-C300C3AC"
类型： REG_SZ
值： "C:WINDOWSsystem32XP-C300C3AC.EXE"
描述: 启动项，使指定的路径下的文件随系统的启动而运行。
网络行为:
1、访问指定网站，为网站刷流量：
访问的网站地址：
http://hi.baidu.com/sile***** 刷流量站点
http://www.microsoft.com/en/us/def****.aspx 微软官方主页
http://www.baidu.com/?pn=M08**** 王朝主页
注： %System32% 是一个可变路径。病毒通过查询操作系统来决定当前 System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter% 逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings% 当前用户文档根目录
%Temp% Documents and Settings当前用户Local SettingsTemp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:WinntSystem32
windows95/98/me中默认的安装路径是C:WindowsSystem
windowsXP中默认的安装路径是C:WindowsSystem32
清除方案1、使用安天防线可彻底清除此病毒(推荐)，安天防线下载地址：http://www.antiyfx.com/download.htm 。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用安天防线工具中“进程管理”关闭病毒进程： XP-C300C3AC.EXE
(2)删除病毒文件：
%System32%com.run
%System32%dp1.fne
%System32%eAPI.fne
%System32%internet.fne
%System32%krnln.fnr
%System32%og.dll
%System32%og.edt
%System32%RegEx.fne
%System32%shell.fne
%System32%spec.fne
%System32%ul.dll
%System32%XP-C300C3AC.EXE
(3)恢复病毒修改的注册表项目，删除病毒添加的注册表项：
[HKEY_LOCAL_MACHINESOFTWAREMicrosoft
WindowsCurrentVersionRun]
注册表值: "XP-C300C3AC"
类型： REG_SZ
值： "C:WINDOWSsystem32XP-C300C3AC.EXE"
