病毒名称:
Trojan.Randsom.A
类别： 木马病毒
病毒资料：
这是一个木马病毒，长度可变，感染 windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP 系统，它锁定计算机并显示一段勒索信息，当收到、打开此病毒后，有以下现象：
A 创建以下文件： corpstats.exe winstart.exe 004.exe 005.exe 006.exe 007.exe 008.exe 009.exe svchost.exe data3.exe data2.exe data4.exe dat1.bat wpd.exe ShutdownUtility.exe
B 创建注册表HKEY_CURRENT_USER\SOFTWARE\OZ Development\Applications
C 添加注册表项"cleanup" = "％System％\oobe\setup\corpstats.exe"到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
使得病毒每次开机后执行获取控制权
D 创建临时文件 C:\Documents and Settings\All Users\Application Data\OZ
E 显示如下信息"Deleted files are going to be saved into a hidden Directory and replaced during uninstallation."
"(1) files are being deleted every 30 minutes"
F 显示如下内容(图一)，锁定计算机，并勒索10.99美金
G 在windows目录下创建文件 dat1.bat 并执行，内容是 cd, dir, tree等无害命令
H 在系统目录下创建文件 bat.bat 并执行，内容为延时并关闭计算机
I 病毒在内存中执行多个守护进程，如果结束其中的进程，显示如下信息
Yeah, We don't die, We multiply!
Ctrl+Alt+Del isn't quite working today, is it? I'm not the sharpest tool in the shed but
Crtl+Alt+Del is everyone's S.O.S
J 显示两个色情图片(略)
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2006-5-8
