该病毒属木马类，病毒运行后衍生病毒文件到系统目录下，修改注册表，添加启动项，以达到随开机启动的目的，连接网络，在系统根目录下新建文件夹TDdownload，并下载病毒文件到此文件夹中。

病毒名称： Trojan-Downloader.win32.IEheap.Gen

病毒类型： 木马

文件 MD5： 649153D5E4AE4C5172A7B121B74E224F

公开范围： 完全公开

危害等级： 2

文件长度： 20,480 字节

感染系统： windows98以上系统

开发工具： Microsoft Visual C++ 6.0

加壳类型： 无

命名对照： 驱逐舰[无]

BitDefender [无]

行为分析：

1、病毒运行后衍生病毒文件到系统目录下：

%WINDIR%\\f2.exe

%system32%\\advport.dll

%system32%\\idirk.dll

%system32%\\jyxkc.dll

%system32%\\rundllfromwin2000.exe

%system32%\\score.txt

2、修改注册表，添加启动项，以达到随开机启动的目的：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

\\CurrentVersion\\Run\\

键值: 字串: "System"="C:\\Program Files\\Common Files\\System\\Updaterun.exe"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\

LEGACY_DATEING\\0000\\Control\\

键值: 字串: "ActiveService"="DATEING"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\

键值: 字串: "DeviceDesc"="Network IPSEC Connections"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\

键值: 字串: "Legacy"="1"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root\\LEGACY_DATEING\\0000\\

键值: 字串: "Service"="DATEING"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\

键值: 字串: "Description"="提供安全的网络和拨号连接服务，

记录局域网和远程连接通讯的目标机器信息。"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\

键值: 字串: "DisplayName"="Network IPSEC Connections"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\Enum\\

键值: 字串: "0"="Root\\LEGACY_DATEING\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "Description"="启用 Windows 的系统监视器，

保护 Windows 的程序正常运行。无法终止此服务。"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "DisplayName"="Event Service"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "ErrorControl"="1"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\Parameters\\

键值: 字串: "ServiceDll"="C:\\WINDOWS\\system32\\jyxkc.dll"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\msqmx\\

键值: 字串: "ImagePath"="C:\\WINDOWS\\system32\\drivers\\msqmx.sys"

3、连接网络，在系统根目录下新建文件夹TDdownload，并下载病毒文件到此文件夹中：

下载地址：http://file2.unionsms.net/kuzhan/kuzhansetup.exe

IP：58.211.7.36:80

注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\\Winnt\\System32，windows95/98/me中默认的安装路径是C:\\Windows\\System，windowsXP中默认的安装路径是C:\\Windows\\System32。

--------------------------------------------------------------------------------

清除方案：

1、使用安天木马防线可彻底清除此病毒(推荐)。

2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用安天木马防线“进程管理”关闭病毒进程

(2) 删除病毒文件

%WINDIR%\\f2.exe

%system32%\\advport.dll

%system32%\\idirk.dll

%system32%\\jyxkc.dll

%system32%\\rundllfromwin2000.exe

%system32%\\score.txt

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows

\\CurrentVersion\\Run\\

键值: 字串: "System"="C:\\Program Files\\Common Files

\\System\\Updaterun.exe"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_DATEING\\0000\\Control\\

键值: 字串: "ActiveService"="DATEING"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_DATEING\\0000\\

键值: 字串: "DeviceDesc"="Network IPSEC Connections"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_DATEING\\0000\\

键值: 字串: "Legacy"="1"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Enum\\Root

\\LEGACY_DATEING\\0000\\

键值: 字串: "Service"="DATEING"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\

键值: 字串: "Description"="提供安全的网络和拨号连接服务

，记录局域网和远程连接通讯的目标机器信息。"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\

键值: 字串: "DisplayName"="Network IPSEC Connections"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\DATEING\\Enum\\

键值: 字串: "0"="Root\\LEGACY_DATEING\\0000"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "Description"="启用 Windows 的系统监视器，

保护 Windows 的程序正常运行。无法终止此服务。"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "DisplayName"="Event Service"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\

键值: 字串: "ErrorControl"="1"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\License\\Parameters\\

键值: 字串: "ServiceDll"="C:\\WINDOWS\\system32\\jyxkc.dll"

HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\msqmx\\

键值: 字串: "ImagePath"="C:\\WINDOWS\\system32\\drivers\\msqmx.sys"