病毒别名： 处理时间：2007-04-27 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒行为:

该病毒运行后，衍生病毒文件到多个目录下，添加注册表随机运行项以跟随系统启动。会释放并运行两款病毒，其中是一个是灰鸽子木马。

1、该病毒会释放并运行两个病毒

%SystemRoot%\\system32\\svch1st.exe

%SystemRoot%\\system32\\svch2st.exe

2、svch1st.exe病毒运行后生成的文件

%SystemRoot%\\system32\\WinIo.sys

%SystemRoot%\\system32\\WinIo.dll

%SystemRoot%\\system32\\stdlib.vbs

%SystemRoot%\\system32\\QMDispatch.dll

%SystemRoot%\\system32\\hknm.sys

%SystemRoot%\\system32\\helper.dll

%SystemRoot%\\system32\\cfgdll.dll

%SystemRoot%\\system32\\BException.dll

%SystemRoot%\\system32\\WINIO.VXD

%SystemRoot%\\QMDispatch.dll

%SystemRoot%\\system32\\rename.ini

%SystemRoot%\\system32\\tqplhn.dll

%SystemRoot%\\FFFFSSSS.BAT

%DOCUME~1%\\ADMINI~1\\LOCALS~1\\Temp\\macroinfo.dat

%DOCUME~1%\\ADMINI~1\\LOCALS~1\\Temp\\macro0.tmp

%SystemRoot%\\system32\\mymacro.htm

%SystemRoot%\\system32\\mymacro.gif

C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\2

3、svch2st.exe病毒运行后生成的文件，该病毒是灰鸽子病毒

%SystemRoot%\\win.exe

%SystemRoot%\\win.DLL

4、svch1st.exe病毒添加驱动

HKLM\\System\\CurrentControlSet\\Services\\WINIO

"Type" = "0x1"

HKLM\\System\\CurrentControlSet\\Services\\WINIO

"Start" = "0x3"

HKLM\\System\\CurrentControlSet\\Services\\WINIO

"ImagePath" = "\\??\\%SystemRoot%\\system32\\winio.sys"

HKLM\\System\\CurrentControlSet\\Services\\WINIO

"DisplayName" = "WINIO"

5、svch2st.exe病毒添加服务

HKLM\\System\\CurrentControlSet\\Services\\System

"Type" = "0x110"

HKLM\\System\\CurrentControlSet\\Services\\System

"Start" = "0x2"

HKLM\\System\\CurrentControlSet\\Services\\System

"ImagePath" = "%SystemRoot%\\win.exe"

HKLM\\System\\CurrentControlSet\\Services\\System

"DisplayName" = "System"