Win32.TrojDownloader.Agent.147456

核心提示：病毒名称(中文):匿名下载器147456病毒别名:威胁级别:★☆☆☆☆病毒类型:木马下载器病毒长度:147456影响系统:Win9xWinMeWinNTWin2000WinXPWin2003病毒行为:这是一个较典型的木马下载器病毒，该下载器在躲避杀软和用户手动查杀方面采取匿名法，Win32.TrojDownloader

病毒名称(中文): 匿名下载器147456
病毒别名:
威胁级别: ★☆☆☆☆
病毒类型: 木马下载器
病毒长度: 147456
影响系统: Win9xWinMeWinNTWin2000WinXPWin2003



病毒行为:

这是一个较典型的木马下载器病毒。该下载器在躲避杀软和用户手动查杀方面采取匿名法，也就是释放的病毒副本文件路径和文件名都随机。

1.创建互斥量bmvaccinespyware，确保病毒程序只有一个实例运行。

2.病毒首先预览system32目录下的所有目录，然后在这些目录中随机选取一个，在这个选取的目录下新建病毒目录，然后在其下释放病毒副本文件：
释放的路径和文件名可能是：
x:\windows\system32\CatRoot\kktiu\onzik.exe
X:\WINDOWS\System32\dhcp\zeoiu\teutu.exe
x:\WINDOWS\System32\oobe\images\tettu\zktin.exe
x:\WINDOWS\System32\config\systemPRofile\kntzu\oetku.exe
x:\WINDOWS\System32\wbem\mof\keukk\zezuk.exe

3.在注册表中创建自启动项，使病毒随系统启动
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“onzik”=X:\WINDOWS\System32\CatRoot\kktiu\onzik.exe

4.为了删除自身痕迹，在重启后删除自身。

5.在%Windir%\system32目录下新建ini文件记录感染病毒版本，文件名为vcspww_ret2_vi.ini。

6.到地址http://comm.w****olbar.co.kr/backman/bmvcspyware.php读取下载列表下载其它木马文件。

7.除读取下载列表外，还到以下地址下载木马：
http://update.p******mreward.co.kr/subx/hdaq.exe
保存为%windir%\apesuyiqa.exe；

8.创建服务apesuyiqa，使程序apesuyiqa.exe随系统启动。