病毒名称(中文):
匿名下载器147456
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马下载器
病毒长度:
147456
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
这是一个较典型的木马下载器病毒。该下载器在躲避杀软和用户手动查杀方面采取匿名法，也就是释放的病毒副本文件路径和文件名都随机。
1.创建互斥量bmvaccinespyware，确保病毒程序只有一个实例运行。
2.病毒首先预览system32目录下的所有目录，然后在这些目录中随机选取一个，在这个选取的目录下新建病毒目录，然后在其下释放病毒副本文件：
释放的路径和文件名可能是：
x:\windows\system32\CatRoot\kktiu\onzik.exe
X:\WINDOWS\System32\dhcp\zeoiu\teutu.exe
x:\WINDOWS\System32\oobe\images\tettu\zktin.exe
x:\WINDOWS\System32\config\systemprofile\kntzu\oetku.exe
x:\WINDOWS\System32\wbem\mof\keukk\zezuk.exe
3.在注册表中创建自启动项，使病毒随系统启动
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“onzik”=X:\WINDOWS\System32\CatRoot\kktiu\onzik.exe
4.为了删除自身痕迹，在重启后删除自身。
5.在%Windir%\system32目录下新建ini文件记录感染病毒版本，文件名为vcspww_ret2_vi.ini。
6.到地址http://comm.w****olbar.co.kr/backman/bmvcspyware.php读取下载列表下载其它木马文件。
7.除读取下载列表外，还到以下地址下载木马：
http://update.p******mreward.co.kr/subx/hdaq.exe
保存为%windir%\apesuyiqa.exe；
8.创建服务apesuyiqa，使程序apesuyiqa.exe随系统启动。
