该病毒属木马类，病毒图标为淡蓝色包装盒图标，名称为“邮址大全解压包.exe”用以迷 惑用户点击运行。病毒运行后弹出对话框，在敏感区域复制自身生成大量病毒文件；在启动文件 夹添加病毒文件，点击确定后自动注销，实现注销后启动；将屏幕保护文件更改为病毒文件，修 改屏幕保护时间为1分钟，使病毒具有较强的隐蔽性；将任务管理器文件替换为病毒文件，使用户 无法使用任务管理器结束病毒进程，在用户打开任务管理器时，实际上激活的是病毒；修改注册 表，添加启动项、创建服务，以达到随机启动的目的。

病毒档案

病毒危害

病毒描述

行为分析

清除方案

病毒档案

病毒名称： Trojan.Win32.QiaoZhaz.c

病毒类型： 木马

文件 MD5： 6f904cd896df07bf731663537753449

公开范围： 完全公开

文件长度： 446,303 字节

开发工具： Microsoft Visual C++ 6.0

加壳类型 : 无

病毒危害

危害等级： 5 感染系统： Win9X以上系统

病毒描述

删除“文件夹选项”中的“显示隐藏文件”选项，删除“文件夹选项”。删除开始菜单中的运行、关机、注销、搜索。修改TXT文件的文件

关联，打开任意该格式文件都将打开病毒文件。在每次开机时弹出系统提示，病毒运行时弹出注

销提示，提示内容相同用以对用户进行敲诈勒索，并删除非系统盘的文件。

行为分析

1 、 病毒运行后复制自身到 %system32% 及相关文件夹下

%system32% 飞越星球 .scr

%system32%\\dllcash\\taskmgr.exe

%system32%\\taskmgr.exe

C:\\Documents and Settings\\All Users\\Application Data\\

Microsoft\\win1ogon.exe

C:\\Documents and Settings\\Administrator\\ 「开始」菜单 \\ 程序 \\

启动 \\svchost.exe

2 、 修改注册表 ， 添加启动项 ：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run

键值 : 字串 : " svchost.exe "="C:\\Documents and Settings\\All Users\\Application Data\\Microsoft\\win1ogon.exe"

3 、 修改注册表 ， 创建服务 ：

服务名称：WINS （服务名后面有3个空格）

服务描述：WINS为客户提供系统域名解析服务

启动方式：自动

4 、 修改屏幕保护文件，及启动时间：

HKEY_CURRENT_USER\\Control Panel\\Desktop

键值 : 字串 : " SCRNSAVE.EXE "="%windir%\\system32\\ 飞越星球 .scr"

HKEY_CURRENT_USER\\Control Panel\\Desktop\\ScreenSaveTimeOut

新: 字符串 : "60"

旧: 字符串: "900"

5 、通过注册表对“文件夹选项”和其相关设置进行更改

删除如下项，删除“文件夹选项”中的“显示隐藏文件”选项，实现隐藏

具有隐藏文件属性的文件并锁定：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\CheckedValue

键值 : DWORD: 1 (0x1)

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\DefaultValue

键值 : DWORD: 2 (0x2)

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\HelpID

键值 : 字符串 : "shell.hlp#51105"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\HKeyRoot

键值 : DWORD: 2147483649 (0x80000001)

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\RegPath

键值 : 字符串 : "Software\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\Text

键值 : 字符串 : " 显示所有文件和文件夹 "

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion

\\Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\Type

键值 : 字符串 : "radio"

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Folder\\Hidden\\SHOWALL\\ValueName

键值 : 字符串 : "Hidden"

修改如下项 ， 隐藏系统文件和已知文件的扩展名和 ： HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\Hidden

新 : DWORD: 2 (0x2)

旧 : DWORD: 1 (0x1)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Explorer\\Advanced\\HideFileExt

新 : DWORD: 1 (0x1)

旧 : DWORD: 0 (0)

创建如下项禁用 “ 文件夹选项 ”： HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oFolderOptions

键值: DWORD: 1 (0x1)

6 、 修改txt文件的文件关联，更改为病毒文件：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Classes\\txtfile\\shell\\open\\command

键值 : 字串 : @="C:\\Documents and Settings\\All Users\\Application

Data\\Microsoft\\win1ogon.exe"

7 、 将任务管理器文件替换为病毒文件，使用户无法使用任务管理器结束病毒进程，同时运行

病毒文件，是感染机器恢复到被病毒感染的初始状态，使用户对病毒的处理前功尽弃。

8 、创建系统提示，在每次开机时弹出用以对用户进行敲诈勒索。

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

policies\\system\\legalnoticecaption

新建键值: 字串: "警告:"

原键值: <未设置键值> HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\

policies\\system\\legalnoticetext

新建键值 : 字串 : " 发现您硬盘内曾使用过盗版了的我公司软件 ,

所以将您部份文件移到锁定了的扇区 , 若要解锁将文件释放 , 请电邮 原键值: <未设置键值>

注： %system32% 是一个可变路径。病毒通过查询操作系统来决定当前 windows 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt ， windows95/98/me/xp 中默认的安装路径是 C:\\Windows 。

清除方案

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 启动安天木防线的进程管理关闭病毒进程：

win1ogon.exe <路径：C:\\Documents and Settings\\All

Users\\ApplicationData\\Microsoft\\win1ogon.exe>

svchost.exe <路径：C:\\Documents and Settings\\Administrator\\

「开始」菜单\\程序\\启动\\svchost.exe>

(2) 删除病毒文件：

%system32%飞越星球.scr

%system32%\\dllcash\\taskmgr.exe

%system32%\\taskmgr.exe

C:\\Documents and Settings\\All Users\\Application Data\\Microsoft\\win1ogon.exe

C:\\Documents and Settings\\Administrator\\「开始」菜单\\程序\\启动\\svchost.exe

(3)　将taskmgr.exe文件复制到C:\\windows\\system32目录下。

(4) 双击“敲诈者病毒变种C专用注册表修复工具.reg”将其内容导入注册表。