—
本帖被 ︶ㄣ半支煙℡ 执行加亮操作(2010-06-19)
—
刚才打开Mail下载附件不小心中了流氓网站的新花招，提供一点目录和清除方法
在电脑桌面创建假淘宝、假IE、免费在线电影图标，无法删除，点击打开后会直接
链接至流氓网址导航。桌面环境被污染，系统信息被修改，整个电脑系统被弄得乌烟瘴气，充斥着黑色利益的
恶心猖狂。
Trojan/Win32.Agent.dxmg[Dropper]：
该恶意代码文件为恶意广告类木马，病毒运行后修改注册表项隐藏桌面IE浏览器，并添加多处注册表项
新建IE快捷方式，使打开IE 指定连接到广告网站，创建多个病毒VBS脚本文件到系统目录下，在桌面创建多
个URL快捷方式，强行安装世界之窗软件，以非法的推广手段获取谋利。
本地行为:
1、 该病毒文件为多个BIND与捆绑组成的文件，首次运行后在% Program Files%目录下创建set目录并释放以下文件：
2、 病毒衍生的文件所在目录：
%Documents and Settings%\All Users\桌面\Intenert Expleror.url
%Documents and Settings%\All Users\桌面\淘宝网特价区.url
%Documents and Settings%\All Users\桌面\免费快速高清晰电影.url
%Documents and Settings%\All Users\桌面\虎年运程.url
%Documents and Settings%\All Users\「开始」菜单\程序\启动\腾讯QQ.lnk
%Documents and Settings%\All Users\「开始」菜单\程序\Intenert Expleror.url
%Documents and Settings%\All Users\「开始」菜单\Intenert Expleror.url
%Documents and Settings%\当前用户\「开始」菜单\程序\快捷方式\快捷方式.lnk
%Documents and Settings%\当前用户\「开始」菜单\程序\快捷方式\卸载快捷方式.lnk
%Documents and Settings%\当前用户\Favorites\虎年运程!!.url
%Documents and Settings%\当前用户\Favorites\最新绿色极品免费电影！高速高清！天天更新!!.url
%Documents and Settings%\当前用户\Favorites\淘宝网 - 淘！我喜欢.url
%Documents and Settings%\当前用户\Favorites\小游戏，最好玩最快的超级小游戏!!.url
%Documents and Settings%\当前用户\桌面\set.exe
%Documents and Settings%\当前用户\桌面\世界之窗.lnk
%Documents and Settings%\当前用户\桌面\超级好玩小游戏.lnk
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\Intenert Expleror.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\免费快速电影.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\淘宝网今天特价区.url
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\Quick Launch\超级好玩小游戏.lnk
%Documents and Settings%\当前用户\Application Data\Microsoft\Internet Explorer\超级好玩小游戏.lnk
%Program Files%\Common Files\winer88.html
%Program Files%\winpiz\theeworld.exe
%Program Files%\winpiz\user.vbs
%Program Files%\winpiz\xyx.exe
%Program Files%\winpiz\3.bat
%Program Files%\winpiz\2222.vbs
%Program Files%\winpiz\dy.ico
%Program Files%\winpiz\game.ico
%Program Files%\winpiz\hwxyx.exe
%Program Files%\winpiz\Internet.vbs
%Program Files%\winpiz\mm.ico
%Program Files%\winpiz\qq.ico
%Program Files%\winpiz\setup_4846.exe
%Program Files%\winpiz\tb.ico
%Program Files%\winpiz\SeFastInstall_3135a.exe
%Program Files%\快捷方式\KKJDock.exe
%Program Files%\快捷方式\快捷方式.url
%Program Files%\快捷方式\uninst.exe
%Program Files%\快捷方式\kkjDock.cfg
%Program Files%\thenewworld\link.exe
%Program Files%\thenewworld\theeworld.exe
%Program Files%\thenewworld\TheNewWorld.ini
%Program Files%\thenewworld\hulu.exe
3、set.exe为RAR SFX捆绑文件，当它执行之后将在% Program Files%目录下创建一个winpiz目录并将文件全部释放到该目录
下，并执行2222.vbs脚本文件
2222.vbs脚本文件被执行之后将会分别调用3.bat、user.vbs、xyx.exe对系统进行恶意篡改
以上脚本执行完之后病毒在桌面创建多个URL快捷方式，并隐藏IE浏览器，使用虚假IE图标替换原有的IE浏览器快捷方式
4、修改、添加注册表项
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command\@
新: 字符串: "%Program Files%\Internet Explorer\iexplore.exe "
描述：篡改IE，使打开IE连接到指定网站
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Desktop\NameSpace\{C42EB5A1-0EED-E549-91B0-153485860112}\@
值: 字符串: "Internet Explorer"
描述：创建虚假IE桌面浏览器
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\{871C5380-42A0-1069-A2EA-
08002B30309D}
值: DWORD: 1 (0x1)
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel\{871C5380-42A0-1069-A2EA-
08002B30309D}
值: DWORD: 1 (0x1)
描述：修改注册表项隐藏桌面的IE浏览器
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{86AEFBE8-763F-0647-899C-A93278894D8F}\@
值: 字符串: "Intarnet Explorer"
描述：创建虚假IE桌面浏览器
注：%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。
%Windir% WINDODWS所在目录
%DriveLetter%
逻辑驱动器根目录
%ProgramFiles% 系统程序默认安装目录
%HomeDrive% 当前启动的系统的所在分区
%Documents and Settings%
当前用户文档根目录
%Temp% \Documents and Settings
\当前用户\Local Settings\Temp
%System32% 系统的 System32文件夹
Windows2000/NT中默认的安装路径是C:\Winnt\System32
windows95/98/me中默认的安装路径是%WINDOWS%\System
windowsXP中默认的安装路径是%system32%
清除：
1、安天防线可彻底清除此病毒。
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
