病毒名稱
Trojan-Spy.Win32.病毒類型： 木馬類
檔案 MD5： 001a2fa3b9f9bf75974f33db8097487b
公開範圍： 完全公開
危害等級： 中
檔案長度： 216026 位元組
感染系統： Windows9X以上版本
開發工具： Visual Basic 5.0 - 6.0
加殼類型： UPX
命名對照： Symentec[W32.Pinfi]
Mcafee[W32/Pate.b]
病毒描述
行為分析：1、病毒第一次運行時，在% Documents and Settings % \admin\Local Settings\Temp中創建一個臨時檔案，檔案名稱是隨機的。例如：com32.tmp
2、修改註冊表，添加註冊表啟動項：
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：“mServer”="(病毒所在路徑)"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值：字串：”(病毒所在路徑)”=""
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\
鍵值：字串：””= "Microsoft WinSock Control, version 6.0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\InprocServer32
鍵值：字串：”ThreadingModel”="Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus\1
鍵值：字串：””="132497"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus
鍵值：字串””="0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\ProgID\
鍵值：字串：””="MSWinsock.Winsock.1"
註：% Documents and Settings %是一個可變路徑。作業系統中默認的安裝路C:\ Documents and Settings 。
--------------------------------------------------------------------------------
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用安天木馬防線“進程管理”關閉病毒進程
(2) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_CURRENT_USER\Software\Microsoft\Windows
\CurrentVersion\Run
鍵值：字串：“mServer”="(病毒所在路徑)"
HKEY_CURRENT_USER\Software\Microsoft\Windows
\ShellNoRoam\MUICache
鍵值：字串：” (病毒所在路徑)”="www."
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\
鍵值：字串：””= "Microsoft WinSock Control, version 6.0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC
0080C7E7B78D}\InprocServer32
鍵值：字串：”ThreadingModel”="Apartment"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus\1
鍵值：字串：””="132497"｜
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\MiscStatus
鍵值：字串””="0"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
{248DD896-BB45-11CF-9ABC-0080C7E7B78D}\ProgID\
鍵值：字串：””="MSWinsock.Winsock.1"
