病毒别名： 处理时间：2007-01-11 威胁级别：★
中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003
病毒行为:
该病毒是一个敲诈者木马。运行该病毒删除非系统盘和系统盘指定文件夹里的所有文件，打开一个htm脚本，并弹出警告框说电脑用户破坏了软件的许可协议，要求和病毒作者联系。每次重起电脑都会再弹出一个标题为严重警告的对话框，说将部分文件锁起来了，其实是病毒直接删除掉了，当然中毒用户也不要荒，给删掉的数据可以使用金山数据安全工具或其他数据恢复工具修复，但在未修复数据期间最好不向要修复磁盘写如任何文件，以免进一不破坏数据造成更大损失。制造并使用该类病毒敲诈电脑用户属于违法行为，建议中毒用户向公安机关报案并协助警方破案。若电脑中数据比较重要则请专业人员做修复工作。
1、生成的文件
%Program Files%Internet Explorerfile.htm
%Program Files%Internet Explorerfile.exe
%DOCUME~1%ADMINI~1LOCALS~1TempE_4krnln.fnr
%DOCUME~1%ADMINI~1LOCALS~1TempE_4shell.fne
%SystemRoot%system321sass.exe
%Documents and Settings%administratorApplication DataMMC.exe
%Documents and Settings%administratorApplication DataMicrosoftwin1ogon.exe
%Documents and Settings%administrator「开始」菜单程序启动MMC.exe.lnk
2、添加启动项
HKLMSoftwareMicrosoftWindowsCurrentVersionRun
"svchost.exe" = "%Documents and Settings%administratorApplication Data\MMC.exe"
C:Documents and Settingsadministrator「开始」菜单程序启动MMC.exe.lnk
3、修改exe，txt文件关联
HKCRexefileshell
unascommand
"(Default)" = "C:WINNTsystem321sass.exe"
HKCRxtfileshellopencommand
"(Default)" = "%Documents and Settings%administratorApplication DataMicrosoftwin1ogon.exe"
4、设置系统总是隐藏文件及隐藏扩展名
HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced
"Hidden" = "0x2"
HKLMSOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHidden
"SHOWALL" = "0xE21BD500"
HKCUSoftwareMicrosoftWindowsCurrentVersionExplorerAdvanced
"HideFileExt" = "0x1"
5、添加注册表信息，开机进桌面是弹出对话框
HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem
"legalnoticecaption" = "严重警告："
HKLMSOFTWAREMicrosoftWindowsCurrentVersionpoliciessystem
"legalnoticetext" = " 您使用了经过反汇编的软件，此行为严重对软件作者侵权！所以部份文件已隐藏在锁定的扇区，如需解锁释放文件，请联系yibasoftware@yahoo.com.cn获取相应的解锁软件，否则隐藏的文件将永远尘封起来！即使格式化也于事无补！"