病毒名称(中文):
顽固下载器71168
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马下载器
病毒长度:
71168
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是个木马下载器程序。此毒为了对抗反病毒厂商和高级用户的查杀，进行了较多的伪装，并且释放出的病毒文件路径及文件名均可变。
1.病毒首先检测当前环境是否是真实环境，发现是在虚拟机内运行时执行大量伪装的正常代码。
2.模拟正常软件执行过程，在注册表如下位置写入信息：
HKCU\Software\Acat,"ohsu"=2c034563(无用的16进制数)。
HKCU\Software\Cebs"Aacu"=24124565(无用的16进制数)。
3.在一可变路径下新建目录，在该目录下释放病毒副本文件，副本文件名也为可变，通过观察病毒副本文件可能位于：
c:\DocumentsandSetting\[username]\ApplicationData\system32\explorer.exe,
c:\programsFiles\security\scanregw.exe；
副本文件路径有多种，不一一列出。
4.病毒创建自启动项来使释放的副本文件随系统加载：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run,
"ocss"=c:\programsFiles\security\scanregw.exe-vttzt（该值当前释放的病毒副本全路径）
5.病毒运行以参数-vttzt运行所释放的副本文件；
6.新病毒进程开启后到指定地址读取病毒下载列表，病毒下载列表地址如下：
http://nf.o****info.com/notify.php