该病毒属木马类。病毒运行后复制自身到 %system32% 下及其附属目录下;在所有盘幅根目录下创建病毒副本，文件名为 setup.exe ，并衍生病毒文件 autorun.inf ，达到随双击盘幅启动病毒的目的;修改注册表，来自添加两处启动项、创建服务，以达到随机启动的目的;锁定360百科隐藏文件选项，使用户无小法显示隐藏文件。访问网络，下载病毒文件。
- 外文名称 Trojan-Downloader.Win32.Small.czo
- 病毒类别 木马
- 公开范围 完全公开
- 危害等级 3
病毒简介
病毒名称: Trojan-Downloader.Win32.Small.czo
病来自毒类型: 木马
文件 MD5: 120521DB73BBF1D0A8BDFB90E2D758B
公开范围360百科: 完全公开
危害等级: 抓排原脸失什重物副适3
文件长度: 14,689 字节
感染系统争固般你础太清宗黄木: windows 98以上版本
开发工具: Microsoft Visual C++ 6.0
加壳工具: FSG 2.0 -> bart/xt
行为分析
1 、病毒运银究选斯行后复制自身到 %system32% 及其附属目录下，并在所有盘根目录领磁少也构下创建病毒文件副本，并衍生病毒文件。
%system23%\ internt.exe
%system32%\progmon.exe
%system32%\IME\svchost.exe
% 各乐比胡夜检加费距团范驱动器根目录 %\se料祖刚陆富杀视免离车tup.exe
% 各驱动器根目录 %\autorun.inf
2 、修改注册表，添加两处启动项，以达到随机启动的目的:
HKEY_LOCAL活内确_MACHINE\SOFT气轴陆良呢任孔WARE
\Microsoft\Windows\CurrentVersion\Run
新建键值:字串:"Internt"="C:
否用断员础六记 \WINDOWS应越阻握附小思增以甚鱼\system32\internt.exe"
HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Wind控承燃可名伯反染一呀际ows\Curr重entVersion\Run
新建键值:字串:"Program file"="C:
\WINDOWS\system32\progmon.exe"
3 、修改注册表，创建服务，以达到随机启动的目的:
服务名称: Alerter COM+
映像路径: %system32%\IME\svchost.exe
启动方式:自动
4、锁定隐藏文件选项，使用户无法显示隐藏文件:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
\Windo层沙怀事怎ws\CurrentVersion\Explorer
\Advanced\Fol知愿专染der\Hidden\SHOWALL\CheckedValue
新键值: DWORD: 0(0)
原键值: DWORD: 1 (0x1)
5、禁记间止 IE 使用代理服务器:
HKEY_USERS\S-1-5-18\Software
胡推组态福抓板振 \Microsoft\Windows\CurrentVersion
\Internet Settings\ProxyEnable
新振越士建键值: DWORD: 0 (0)
HKEY_USERS\.DEFAULT\Software
\Microsoft\Window月儿谈溶穿呼真低名江喜s\CurrentVersion
\Internet Settings\ProxyEnable
新建键值: DWORD: 0 (0)
6、 连接网络，下载病毒文件:
网址: http://w.d*y52*.com
路径:
/0.exe Trojan-Spy.Win32.Delf.vr
/nogui.exe 为 winpacp3.0 安装文件
/wpcap.dll winpacp 相关库文件
/psexec.exe 一个低权限远端命令行执行工具
/Server.exe 下载病毒原程序作为副本
/arp.exe 网络叹嗅工具
/down/game01.exe Trojan-Proxy.Win32.Small.du
/down/game02.exe Trojan-Proxy.Win32.Small.du
/down/game03.exe Trojan-Proxy.Win32.Small.du
/down/game04.exe Trojan-Proxy.Win32.Small.du
/down/game05.exe Trojan-Proxy.Win32.Small.du
/down/game06.exe Trojan-Proxy.Win32.Small.du
/down/game07.exe Trojan-Proxy.Win32.Small.du
/down/game08.exe Trojan-Proxy.Win32.Small.du
/down/game09.exe Trojan-Proxy.Win32.Small.du
/down/game10.exe Trojan-PSW.Win32.OnLineGames.nn
/down/game11.exe Trojan-PSW.Win32.OnLineGames.nt
/down/game12.exe Trojan-PSW.Win32.OnLineGames.od
/down/game13.exe Trojan-PSW.Win32.OnLineGames.zb
/down/game14.exe Trojan-PSW.Win32.OnLineGames.rd
/down/game15.exe Trojan-PSW.Win32.OnLineGames.yn
/down/game16.exe Trojan-PSW.Win32.OnLineGames.xt
/down/game17.exe Trojan-PSW.Win32.OnLineGames.yk
/down/game18.exe Trojan-PSW.Win32.OnLineGames.wh
/down/game19.exe Trojan-PSW.Win32.OnLineGames.xi
/down/game20.exe Trojan-PSW.Win32.OnLineGames.zq
注:%vsystem32% 是一个可变路径。病毒通过查询操作系统来决定当前 vsystem32
文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt\system32 ，windows95/98/me/xp 中默认的安装路径是 C:\Windows\system32 。
清除方案
1 、使用安天木马防线可彻底清除此病毒 ( 推荐 )
2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)使用 安天木马防线 "进程/来自服务管理"关闭病毒进360百科程
(2) 删除病毒文件:
%system23%\ internt.exe
%system先保担且鱼旧厂依草专款32%\progmon.exe
%system32%\IME\svchost.exe
% 各驱动器根目录 %\setup.exe
% 各驱动器根目录 %\autorun.inf
(3)恢夫世复病毒修改的注册表告移无绝项目，删除病毒添加的注册表项。
HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\Current执逐色款Version\Run
新建键值: 字串: "Internt"="C:\WINDOWS
\syste名取m32\internt.exe"
HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\Cur况势置苗按书右rentVersion\Run
新建键值: 字串: "Program file"="C:
\WINDOWS\system32\progmon.exe"
HKEY_USERS\S-1-5-18\Software
\Microsoft\Windows\并CurrentVersion
\Internet Settings\ProxyEnable
新建键值: DWORD: 0 (0)
HKEY_USERS\.DEFAULT\Software
\Microsoft\Wi顺够路宪专讲发果ndows\CurrentV落机浓余露或航ersion
\Internet Settings\ProxyEnable
新建键值 : DWORD: 0 (0)
删除下面项的所有子项:
H当吗车KEY_LOCA丝质使圆针经酒世L_MACHINE\SYSTEM
\ControlSet001\Services
\Alerter COM+
恢复注册表原键值:
HKEY_LOCAL_MACHINE\SOFTWARE
\Microsoft\Windows\CurrentVersion
\Explorer\Advanced\Folder
\Hidden\SHOWALL\CheckedValue
新键值: DWORD: 0 (0)
原键值: DWORD: 1 (0x1)
