Trojan.Win32.VB.ca 计算机的一种病毒，该病毒属木马类，病毒图标为卡通人物图标，用以迷惑用户点击运行。病毒运行衍生病毒文件到 %system32% 下，文件名为 haha.exe ；修改注册表，添加启动项，以达到随机启动的目的；隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项、查找项、文档项，隐藏部分用户的关机、 注销、隐藏 IE 工具栏选项；修改 IE 标题栏。

概述

病毒描述

行为分析

清除方案

概述

病毒名称： Trojan.Win32.VB..ca

中文名称： 三叶草

病毒类型： 木马

文件 MD5： 8F5517957147CC911585679F9745BAA4

公开范围： 完全公开

危害等级： 3

文件长度： 81,920 字节

感染系统： windows98以上版本

开发工具： Microsoft Visual Basic 5.0 / 6.0

加壳类型： 无

病毒描述

该病毒属木马类，病毒图标为卡通人物图标，用以迷惑用户点击运行。病毒运行衍生病毒文件到 %system32% 下，文件名为 haha.exe ；修改注册表，添加启动项，以达到随机启动的目的；隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项、查找项、文档项，隐藏部分用户的关机、 注销、隐藏 IE 工具栏选项；修改 IE 标题栏。

行为分析

1 、病毒运行后衍生病毒文件到 %system32% 下，文件名为 haha.exe

%system32%\\haha.exe

2 、修改注册表，添加启动项，以达到随机启动的目的：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunServices

新建键值 : 字串 : "haha"="haha.exe"

3 、隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项，、查找项、文档项，隐藏部分

用户的关机、注销、隐藏 IE 工具栏选项；修改 IE 标题栏：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oDrives

新建键值 : DWORD: 4294967295 (0xffffffff)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oFind

新建键值 : DWORD: 1 (0x1)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oRecentDocsMenu

新建键值 : DWORD: 1 (0x1)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oRun

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oClose

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oFavoritesMenu

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oLogOff

新建键值 : 类型 : REG_BINARY: 01 00 00 00

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oClose

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oFavoritesMenu

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\CurrentVersion\\

Policies\\Explorer\oLogOff

新建键值 : 类型 : REG_BINARY: 01 00 00 00

4 、修改 IE 标题栏：

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Internet Explorer\\Main

新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫所侵蚀 ,

注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\\Winnt\\System32 ， windows95/98/me 中默认的安装路径是 C:\\Windows\\System ， windowsXP 中默认的安装路径是 C:\\Windows\\System32 。

--------------------------------------------------------------------------------

清除方案

1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )

2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。

(1) 使用 安天木马防线 “进程管理”关闭病毒进程。

(2) 删除病毒文件：

%system32%\\haha.exe

(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项：

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oDrives

新建键值 : DWORD: 4294967295 (0xffffffff)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oFind

新建键值 : DWORD: 1 (0x1)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oRecentDocsMenu

新建键值 : DWORD: 1 (0x1)

HKEY_CURRENT_USER\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oRun

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oClose

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oFavoritesMenu

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\.DEFAULT\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oLogOff

新建键值 : 类型 : REG_BINARY: 01 00 00 00

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oClose

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oFavoritesMenu

新建键值 : DWORD: 1 (0x1)

HKEY_USERS\\S-1-5-18\\Software\\Microsoft\\Windows\\

CurrentVersion\\Policies\\Explorer\oLogOff

新建键值 : 类型 : REG_BINARY: 01 00 00 00

HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\

Internet Explorer\\Main

新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫