病毒别名： 处理时间：2007-01-11 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒是一个敲诈者木马。运行该病毒删除非系统盘和系统盘指定文件夹里的所有文件，打开一个htm脚本，并弹出警告框说电脑用户破坏了软件的许可协议，要求和病毒作者联系。每次重起电脑都会再弹出一个标题为严重警告的对话框，说将部分文件锁起来了，其实是病毒直接删除掉了，当然中毒用户也不要荒，给删掉的数据可以使用金山数据安全工具或其他数据恢复工具修复，但在未修复数据期间最好不向要修复磁盘写如任何文件，以免进一不破坏数据造成更大损失。制造并使用该类病毒敲诈电脑用户属于违法行为，建议中毒用户向公安机关报案并协助警方破案。若电脑中数据比较重要则请专业人员做修复工作。

1、生成的文件

%Program Files%\\Internet Explorer\\file.htm

%Program Files%\\Internet Explorer\\file.exe

%DOCUME~1%\\ADMINI~1\\LOCALS~1\\Temp\\E_4\\krnln.fnr

%DOCUME~1%\\ADMINI~1\\LOCALS~1\\Temp\\E_4\\shell.fne

%SystemRoot%\\system32\\1sass.exe

%Documents and Settings%\\administrator\\Application Data\\MMC.exe

%Documents and Settings%\\administrator\\Application Data\\Microsoft\\win1ogon.exe

%Documents and Settings%\\administrator\\「开始」菜单\\程序\\启动\\MMC.exe.lnk

2、添加启动项

HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\Run

"svchost.exe" = "%Documents and Settings%\\administrator\\Application Data\\\\MMC.exe"

C:\\Documents and Settings\\administrator\\「开始」菜单\\程序\\启动\\MMC.exe.lnk

3、修改exe，txt文件关联

HKCR\\exefile\\shell\\runas\\command

"(Default)" = "C:\\WINNT\\system32\\1sass.exe"

HKCR\\txtfile\\shell\\open\\command

"(Default)" = "%Documents and Settings%\\administrator\\Application Data\\Microsoft\\win1ogon.exe"

4、设置系统总是隐藏文件及隐藏扩展名

HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced

"Hidden" = "0x2"

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced\\Folder\\Hidden

"SHOWALL" = "0xE21BD500"

HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Explorer\\Advanced

"HideFileExt" = "0x1"

5、添加注册表信息，开机进桌面是弹出对话框

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\system

"legalnoticecaption" = "严重警告："

HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\policies\\system

"legalnoticetext" = " 您使用了经过反汇编的软件，此行为严重对软件作者侵权！所以部份文件已隐藏在锁定的扇区，如需解锁释放文件，请联系yibasoftware@yahoo.com.cn获取相应的解锁软件，否则隐藏的文件将永远尘封起来！即使格式化也于事无补！"