病毒标签：
病毒名称： Trojan-Spy.Win32.VB.my
中文名称： 落雪变种
病毒类型： 木马
文件 MD5： D039BF4DE2BFA3799ACCF60530198C65
公开范围： 完全公开
危害等级： 4
文件长度： 48,836 字节
感染系统： windows98以上版本
开发工具： Microsoft Visual Basic 5.0 / 6.0
加壳类型： NSPack 3.x
命名对照： 毒霸 [Win32.Hack.VB.my.48836 ]
BitDefender [Trojan.Spy.Vb.MY]
病毒描述：
该病毒属木马类，病毒运行后衍生病毒文件，连接网络，下载病毒文件，修改注册表，添加启动项，以达到随机启动的目的，修改可执行文件的关联文件，使可执行文件无法正常运行。
行为分析：
1、病毒运行后衍生病毒文件，连接网络，下载病毒文件：
%windir%1.com
%windir%exeroute.exe
%windir%explorer.com
%windir%finder.com
%windir%winlogon.exe
%system32%command.pif
%system32%dxdiag.com
%system32%finder.com
%system32%msconfig.com
%system32%regedit.com
%system32%rundll32.com
%Program Files%Common Filesiexplore.pif
%Program Files%Internet Exploreriexplore.com
2、修改注册表，添加启动项，以达到随机启动的目的：
新建注册表项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun
键值: 字串: "Torjan Program "="C:WINDOWSWINLOGON.EXE"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
键值: 字串: "Check_Associations "="No"
HKEY_LOCAL_MACHINESOFTWAREClasseswinfilesDefaultIcon
键值: 字串: "@"="%1"
HKEY_LOCAL_MACHINESOFTWAREClasseswinfilesShell
OpenCommand
键值: 字串: "@"="C:WINDOWSExERoute.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
iexplore.pif
键值: 字串: "LocalizedString "="iexplore"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
iexplore.pif shellopencommand
键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif""
修改的注册表项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NT
CurrentVersion Winlogon
新建键值: 字串: "Shell "="Explorer.exe 1"
原键值: 字串: "Shell "="Explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
新建键值: 字串: "@"="iexplore.pif"
原键值: 字串: "@"="IEXPLORE.EXE"
HKEY_LOCAL_MACHINESOFTWAREClassesInternetShortcut
shellopen command
新建键值: 字串: "@"="finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "@"="rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscrfileshell
installcommand
新建键值: 字串: "@"="finder.com desk.cpl,InstallScreenSaver %l"
原键值: 字串: "@"="rundll32.exe desk.cpl,InstallScreenSaver %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscriptletfile
ShellGenerate Typelib command
新建键值: 字串: "@"=""C:WINDOWSsystem32
finder.com" C:WINDOWS system32scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: "@"=""C:WINDOWSsystem32RUNDLL32.EXE"
C:WINDOWS system32scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINESOFTWAREClassestelnetshellopen
command
新建键值: 字串: "@"="finder.com url.dll,TelnetProtocolHandler %l"
原键值: 字串: "@"="rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINESOFTWAREClasses.bfcShellNew
新建键值: 字串: "Command"="%SystemRoot%system32rundll32.com %SystemRoot%system32syncui.dll,Briefcase_Create % 2!d! %1"
原键值: 字串: "Command"="%SystemRoot%system32rundll32.exe %SystemRoot%system32syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINESOFTWAREClasses.exe
新建键值: 字串: "@"="winfiles"
原键值: 字串: "@"="exefile"
HKEY_LOCAL_MACHINESOFTWAREClasses.lnkShellNew
新建键值: 字串: "Command "="rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "Command "="rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINESOFTWAREClassesApplicationsiexplore.exe
shellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com""
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe""
HKEY_LOCAL_MACHINESOFTWAREClassescplfileshellcplopencommand
新建键值: 字串: "@"="rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "@"="rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINESOFTWAREClassesDriveshellfindcommand
新建键值: 字串: "@"="%SystemRoot%explorer.com"
原键值: 字串: "@"="%SystemRoot%Explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClassesdunfileshellopencommand
新建键值: 字串: "@"="%SystemRoot%system32rundll32.com NETSHELL.DLL,InvokeDunFile %1"
原键值: 字串: "@"="%SystemRoot%system32RUNDLL32.EXE NETSHELL.DLL, InvokeDunFile %1"
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" -nohome"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopennewcommand
新建键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellprintcommand
新建键值: 字串: "@"="rundll32.com %SystemRoot%system32 mshtml.dll,PrintHTML "%1""
原键值: 字串: "@"="rundll32.exe %SystemRoot%system32mshtml.dll,PrintHTML "%1"".
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshellopencommand
新建键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif" -nohome"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClassesinffileshellInstallcommand
新建键值: 字串: "@"="%SystemRoot%System32rundll32.com setupapi,InstallHinfSection
DefaultInstall 132 %1"
原键值: 字串: "@"="%SystemRoot%System32rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"
3、修改可执行文件的关联文件，使可执行文件无法正常运行。
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:WinntSystem32，windows95/98/me中默认的安装路径是C:WindowsSystem，windowsXP中默认的安装路径是C:WindowsSystem32
=========================================================
手工清除方案：
手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1) 使用“进程管理”关闭病毒进程
(2) 删除病毒文件
%windir%1.com
%windir%exeroute.exe
%windir%explorer.com
%windir%finder.com
%windir%winlogon.exe
%system32%command.pif
%system32%dxdiag.com
%system32%finder.com
%system32%msconfig.com
%system32%regedit.com
%system32%rundll32.com
%Program Files%Common Filesiexplore.pif
%Program Files%Internet Exploreriexplore.com
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项
新建注册表项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
CurrentVersionRun
键值: 字串: "Torjan Program "="C:WINDOWSWINLOGON.EXE"
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain
键值: 字串: "Check_Associations "="No"
HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
DefaultIcon
键值: 字串: "@"="%1"
HKEY_LOCAL_MACHINESOFTWAREClasseswinfiles
ShellOpenCommand
键值: 字串: "@"="C:WINDOWSExERoute.exe "%1" %*"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
iexplore.pif
键值: 字串: "LocalizedString "="iexplore"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
iexplore.pif
shellopencommand
键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif""
修改的注册表项：
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NT
CurrentVersion Winlogon
新建键值: 字串: "Shell "="Explorer.exe 1"
原键值: 字串: "Shell "="Explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClientsStartMenuInternet
新建键值: 字串: "@"="iexplore.pif"
原键值: 字串: "@"="IEXPLORE.EXE"
HKEY_LOCAL_MACHINESOFTWAREClassesInternetShortcut
shellopen command
新建键值: 字串: "@"="finder.com shdocvw.dll,OpenURL %l"
原键值: 字串: "@"="rundll32.exe shdocvw.dll,OpenURL %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscrfileshell
installcommand
新建键值: 字串: "@"="finder.com desk.cpl,Install
ScreenSaver %l"
原键值: 字串: "@"="rundll32.exe desk.cpl,Install
ScreenSaver %l"
HKEY_LOCAL_MACHINESOFTWAREClassesscriptletfile
ShellGenerate Typelib
command
新建键值: 字串: "@"=""C:WINDOWSsystem32finder.com"
C:WINDOWS system32scrobj.dll,GenerateTypeLib "%1""
原键值: 字串: "@"=""C:WINDOWSsystem32RUNDLL32.EXE"
C:WINDOWS system32scrobj.dll,GenerateTypeLib "%1""
HKEY_LOCAL_MACHINESOFTWAREClassestelnetshellopen
command
新建键值: 字串: "@"="finder.com url.dll,TelnetProtoco
lHandler %l"
原键值: 字串: "@"="rundll32.exe url.dll,TelnetProtocolHandler %l"
HKEY_LOCAL_MACHINESOFTWAREClasses.bfcShellNew
新建键值: 字串: "Command"="%SystemRoot%system32rundll32.com %SystemRoot%system32syncui.dll,Briefcase_Create % 2!d! %1"
原键值: 字串: "Command"="%SystemRoot%system32rundll32.exe %SystemRoot%system32syncui.dll,Briefcase_Create %2!d! %1"
HKEY_LOCAL_MACHINESOFTWAREClasses.exe
新建键值: 字串: "@"="winfiles"
原键值: 字串: "@"="exefile"
HKEY_LOCAL_MACHINESOFTWAREClasses.lnkShellNew
新建键值: 字串: "Command "="rundll32.com appwiz.cpl,NewLinkHere %1"
原键值: 字串: "Command "="rundll32.exe appwiz.cpl,NewLinkHere %1"
HKEY_LOCAL_MACHINESOFTWAREClassesApplications
iexplore.exeshellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClassesCLSID{871C5380-42A0-1069-A2EA-08002B30309D}shellOpenHomePageCommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com""
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe""
HKEY_LOCAL_MACHINESOFTWAREClassescplfileshellcplopencommand
新建键值: 字串: "@"="rundll32.com shell32.dll,Control_RunDLL "%1",%*"
原键值: 字串: "@"="rundll32.exe shell32.dll,Control_RunDLL "%1",%*"
HKEY_LOCAL_MACHINESOFTWAREClassesDriveshellfindcommand
新建键值: 字串: "@"="%SystemRoot%explorer.com"
原键值: 字串: "@"="%SystemRoot%Explorer.exe"
HKEY_LOCAL_MACHINESOFTWAREClassesdunfileshellopencommand
新建键值: 字串: "@"="%SystemRoot%system32rundll32.com NETSHELL.DLL,InvokeDunFile %1"
原键值: 字串: "@"="%SystemRoot%system32RUNDLL32.EXE NETSHELL.DLL, InvokeDunFile
%1"
HKEY_LOCAL_MACHINESOFTWAREClassesftpshellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopencommand
新建键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.com" -nohome"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellopennewcommand
新建键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif" %1"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" %1"
HKEY_LOCAL_MACHINESOFTWAREClasseshtmlfileshellprintcommand
新建键值: 字串: "@"="rundll32.com %SystemRoot%system32 mshtml.dll,PrintHTML "%1""
原键值: 字串: "@"="rundll32.exe %SystemRoot%system32mshtml.dll,PrintHTML "%1"".
HKEY_LOCAL_MACHINESOFTWAREClassesHTTPshellopencommand
新建键值: 字串: "@"=""C:Program Filescommon~1iexplore.pif" -nohome"
原键值: 字串: "@"=""C:Program FilesInternet Exploreriexplore.exe" -nohome"
HKEY_LOCAL_MACHINESOFTWAREClassesinffileshellInstallcommand
新建键值: 字串: "@"="%SystemRoot%System32rundll32.com setupapi,InstallHinfSection DefaultInstall 132 %1"
原键值: 字串: "@"="%SystemRoot%System32rundll32.exe setupapi,InstallHinfSection DefaultInstall 132 %1"