Trojan/Startpage.lw

病毒长度：4,096 字节(BAT), 76 KB(HTML), 41 KB(EXE)

病毒类型：木马

危害等级：*

影响平台：Win9X/2000/XP/NT/Me/2003

Trojan/Startpage.lw是一种木马程序，它可以修改TCP/IP设置指向不同的DNS服务器。它本身并不能自我复制进行传播，为了能让自己感染其它计算机，它只能利用含有恶意代码的HTML文件进行传播。

当含有该木马程序的HTML文件被打开时：

1.在系统目录下生成Aolfix.exe文件并执行。

Aolfix.exe文件的作用是：

创建文件夹C:\\Bdtmp\\Tmp(隐藏属性)，并在该目录下生成一个自动批处理文件，文件名是从100到9999之间的随机数的.bat文件。

删除自生成的文件，使得批处理文件执行后即被删除。

2.当生成的批处理文件被自动执行后，生成文件：

%Windir%\\o.reg

%Windir%\\o2.reg

%Windir%\\o.vbs

3.当病毒生成的.reg文件被执行后，修改注册表：

[HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\VxD\\MSTCP]

"EnableDNS"="1"

"NameServer"="<指向批处理文件的IP地址>"

"HostName"="host"

"Domain"="mydomain.com"

[HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\Internet Settings]

"ProxyEnable"="0"

"MigrateProxy"="0"键值

[HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\Main]

"Use Search Asst"="no"

"Search Page"="http://www.google.com"

"Search Bar"="http://www.google.com/ie"

[HKEY_CURRENT_USER\\Software\\Microsoft\\Internet Explorer\\SearchURL]

"="http://www.google.com/keyword/%%s"

"provider"="gogl"

[HKEY_CURRENT_USER\\Software\\Microsoft\\InternetExplorer\\Search]

"SearchAssistant"="http://www.google.com/ie"

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\Tcpip\\Parameters]

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet002\\Services\\Tcpip\\Parameters]

"DataBasePath"="%SystemRoot%\\help"

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\Tcpip\\Parameters\\Interfaces\\Windows]

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet002\\Services\\Tcpip\\Parameters\\Interfaces\\Windows]

"r0x"="your s0x"

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet001\\Services\\Tcpip\\Parameters\\Interfaces]

[HKEY_LOCAL_MACHINE\\SYSTEM\\ControlSet002\\Services\\Tcpip\\Parameters\\Interfaces]

"NameServer"="<指向批处理文件的IP地址>"

完成上述操作后，木马会自动删除Aolfix.exe文件。

注：%Windir%为变量，一般为C:\\Windows 或 C:\\Winnt；

%System%为变量，一般为C:\\Windows\\System (Windows 95/98/Me), C:\\Winnt\\System32 (Windows NT/2000),

或 C:\\Windows\\System32 (Windows XP)。