病毒名称： Trojan-Downloader.Win32.Delf.ain
病毒类型： 木马
文件 MD5： 8B10932BA81F41561EA62FF3E0426A17
公开范围： 完全公开
危害等级： 中
文件长度： 66,056 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual C++ 6.0
加壳类型： 未知壳
命名对照： Symentec[Hacktool]
Mcafee[无]
病毒描述：
该病毒属木马类，病毒运行后在%system32%CatRoot2下新建了大量.log文件，用以记录键盘操作，从而盗取用户敏感信息，并以邮件的形式发送给病毒作者。释放修改系统时间的文件到文件夹%system32%CatRoot2下，使病毒文件的新建时间与系统时间不一至，同时释放文件碎片恢复文件%system32%CatRoot2.edb.chk，此文件可以恢复被删除的病毒文件，给手工删除此病毒带来了一定的困难。此病毒对用户有一定危害。
行为分析：
1、病毒运行后在%system32%CatRoot2下新建了大量.log文件，用以记录键盘操作：
%system32%CatRoot2
es1.log
%system32%CatRoot2
es2.log
%system32%CatRoot2edb.log
%system32%CatRoot2dberr.txt
%system32%CatRoot2edbtmp.log
%system32%CatRoot2edb0001b.log
2、病毒记录键盘操作，并以邮件的形式发送给病毒作者：
病毒作者邮箱：refdom@263.net
3、释放修改系统时间的文件到文件夹%system32%CatRoot2下,使病毒文件的新建时间与系统时间不一至：
%system32%CatRoot2{127D0A1D-4EF2-11D1-8608-00C04FC295EE}catdb
%system32%CatRoot2{127D0A1D-4EF2-11D1-8608-00C04FC295EE}TimeStamp
%system32%CatRoot2{F750E6C3-38EE-11D1-85E5-00C04FC295EE} catdb
%system32%CatRoot2{F750E6C3-38EE-11D1-85E5-00C04FC295EE} TimeStamp
%system32%CatRoot2mp.edb
4、释放文件碎片恢复文件，用来恢复被删除的病毒文件，从而给手工删除此病毒带来了一定的困难：
%system32%CatRoot2.edb.chk
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32。
--------------------------------------------------------------------------------
清除方案 ：
1、使用安天木马防线可彻底清除此病毒(推荐)。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用安天木马防线“进程管理”关闭病毒进程
(2) 删除病毒文件
%system32%CatRoot2
es1.log
%system32%CatRoot2
es2.log
%system32%CatRoot2edb.log
%system32%CatRoot2dberr.txt
%system32%CatRoot2edbtmp.log
%system32%CatRoot2edb0001b.log
%system32%CatRoot2{127D0A1D-4EF2-11D1-8608-00C04FC295EE}catdb
%system32%CatRoot2{127D0A1D-4EF2-11D1-8608-00C04FC295EE}TimeStamp
%system32%CatRoot2{F750E6C3-38EE-11D1-85E5-00C04FC295EE} catdb
%system32%CatRoot2{F750E6C3-38EE-11D1-85E5-00C04FC295EE} TimeStamp
%system32%CatRoot2mp.edb
%system32%CatRoot2.edb.chk
