常见的具有破坏性之病毒

　　
　　1.TrojanProxy.Webber.20破坏方法：LCC编写的木马病毒，运行后将建立一个隐藏的代理服务器，可以盗取用户的信息如：缓冲密码、用户IP地址、用户的网络访问信息
　　
　　<登录名、密码等，病毒使用剪贴板来传递数据>.
　　
　　病毒一旦运行，将操作如下：
　　
　　1.首先建立一个互斥量名为：Neher_12，保证只有一个病毒的实例运行
　　
　　2.以随机文件名复制到系统目录，并释放一个动态链接库文件：%SYSDIR%filename1.exe %SYSDIR%filename2.dll其中filename1和filename2都是随机的
　　
　　3.增加如下键值来使自己随系统自启动：HKCRCLSID{79FB9088-19CE-715D-D85A-216290C5B738} InProcServer32="C：WINDOWSSYSTEMEefgikkb.dll" HKLMSoftwareMicrosoftWindowsCurrentVersion
　　
　　ShellServiceObjectDelayLoad Web Event Logger="{79FB9088-19CE-715D-D85A-216290C5B738}"其中Eefgikkb.dll就是病毒释放的动态链接库文件，文件名是可变的。
　　
　　4.病毒运行后将分为两部分，监听两个端口：1010和1234，一个用来建立一个隐藏的代理，另外一个则用来下载文件<病毒更新>
　　
　　5.病毒可以通过邮件传播：包含邮件信息如下：From："Account Manager"
　　
　　标题：
　　
　　Re： Your credit application
　　
　　正文：
　　
　　Dear Sir！
　　
　　Thank you for your online application for a Home Equity Loan. In order to be approved for any loan application we pull your Credit Profile and Chexsystems information， which didn't satisfy our minimum needs. Consequently， we regret to say that we cannot approve you for Home Equity Loan at this time.
　　
　　*Attached are copy of your Credit Profile and Your Application that you submitted with us. Please take a close look at it， you will receive hard copy by mail withing next few days.
　　
　　附件：
　　
　　www.citybankhomeloan.htm.pif
　　
　　6.此木马中包含如下信息：Neher（HEXEP） coded by HangUP Team （commercial version）。
　　
　　Greetz to： Hunk，Ares，Z0mbie，FreeHunt，SBVC，TSRH，Vecna'；）
　　
　　A zdes mogla bi bit vasha reklama ；）
　　
　　注：%SYSDIR% 是可变的WINDOWS系统文件夹，默认为： C：WindowsSystem （Windows 95/98/Me），C：WinntSystem32 （Windows NT/2000）， 或
　　
　　C：WindowsSystem32 （Windows XP）
　　
　　2.Backdoor.Goldfish破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下，文件名为"TASKCFG.EXE"，并在SYSTEM目录下新建一个文件夹"ime"并将自己复制多份到该目录。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunService HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunOnce HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRun HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionRun HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionRunOnce以达到其自启动的目的；
　　
　　并修改注册表HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionPoliciesSystem设置数据项"DisableRegistryTools"值为1，以禁止用户使用注册表编辑工具。
　　
　　从注册表中搜索以下软件的CD KEY：Tiberian Sun Red Alert 2 IGI 2 Retail Command & Conquer Generals FIFA 2003 NFSHP2 The Gladiators Soldier of Fortune II Neverwinter Rainbow Six III RavenShield Battlefield 1942 Road To Rome Battlefield 1942 IGI 2 Retail Counter-Strike Unreal Tournament 2003 Half-Life
　　
　　通过猜测$IPC密码传播。
　　
　　'Steven' 'Steve' 'Stevan' 'Stetson' 'Sterling' 'Stephon' 'Rudy' 'Rudolph' 'Rudolf' 'Rubin' 'Ruben' 'Royce' 'Rocco' 'Roberto' 'Robert' 'Robby' 'Robbie' 'Robb'……
　　
　　由于该病毒有一个非常大的密码字典，建议用户将自己的系统管理员密码设置复杂一些。
　　
　　为其控制端提供下载文件、发送消息、获取本机信息、对指定IP进行洪水攻击等服务，使控制端可以通过IRC软件对服务端进行远程控制。
　　
　　3.Backdoor.Goldfish.enc破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下，文件名为"TASKCFG.EXE"，并在SYSTEM目录下新建一个文件夹"ime"并将自己复制多份到该目录。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunService HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunOnce HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRun HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionRun HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionRunOnce以达到其自启动的目的；
　　
　　并修改注册表HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentVersionPoliciesSystem设置数据项"DisableRegistryTools"值为1，以禁止用户使用注册表编辑工具。
　　
　　从注册表中搜索以下软件的CD KEY：Tiberian Sun Red Alert 2 IGI 2 Retail Command & Conquer Generals FIFA 2003 NFSHP2 The Gladiators Soldier of Fortune II Neverwinter Rainbow Six III RavenShield Battlefield 1942 Road To Rome Battlefield 1942 IGI 2 Retail Counter-Strike Unreal Tournament 2003 Half-Life
　　
　　通过猜测$IPC密码传播。
　　
　　'Steven' 'Steve' 'Stevan' 'Stetson' 'Sterling' 'Stephon' 'Rudy' 'Rudolph' 'Rudolf' 'Rubin' 'Ruben' 'Royce' 'Rocco' 'Roberto' 'Robert' 'Robby' 'Robbie' 'Robb'……
　　
　　由于该病毒有一个非常大的密码字典，建议用户将自己的系统管理员密码设置复杂一些。
　　
　　为其控制端提供下载文件、发送消息、获取本机信息、对指定IP进行洪水攻击等服务，使控制端可以通过IRC软件对服务端进行远程控制。
　　
　　4.Trojan.PSW.Legendmir.17.b破坏方法：偷传奇密码的木马。
　　
　　这是Delphi写的偷传奇密码的木马。由四个文件组成：“expl0rer.exe”、“MFCD3O.DLL”、“SysModule64.DLL”、“SysModule32.DLL”
　　
　　如果用户感染此病毒，建议杀毒后立即重新启动，这样，系统中的病毒模块可以彻底被释放。
　　
　　一、病毒主程序进行下列操作：1.拷贝自身为系统目录的“expl0rer.exe”（中间的圈是数字零）
　　
　　同时释放“MFCD3O.DLL”（自身拷贝）到windows目录“SysModule64.DLL” 到系统目录。
　　
　　2 调用“regsvr32.exe”将“SysModule64.DLL”注册为系统COM组件。
　　
　　regsvr32.exe /s %System%SysModule64.DLL
　　
　　3. 运行系统目录的“expl0rer.exe”
　　
　　4. 创建bat文件，将自身删除。
　　
　　二、SysModule64.DLL，修改注册表，注册为explorer.exe的扩展模块。被加载到explorer.exe进程中。
　　
　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
　　
　　CurrentVersionExplorerShellExecuteHooks
　　
　　病毒使用“LegendHook20030324”作为驻留标记。如果“SysModule64.DLL”发现没有该窗口，立即将“MFCD3O.DLL”拷贝生成系统目录的“expl0rer.exe”，并立即运行。
　　
　　用户进行文件操作时，都会激活“SysModule64.DLL”进行检测，病毒正是采用这种方式保证病毒运行。
　　
　　三、系统目录的“expl0rer.exe”释放“SysModule32.DLL”。
　　
　　利用该dll的“EnableMouseHook”、“EnableKeyboardHook”挂结键盘、鼠标钩子。
　　
　　如果当前输入框的窗口标题是“传奇客户端”、“Legend Of Mir 3”、“legend of mir2”，病毒取得账号、密码、角色、性别等信息，保存到指定文件，发送到指定邮箱。
　　
　　5.Trojan.PSW.Legendmir.17.b.enc破坏方法：这是Delphi写的偷传奇密码的木马。由四个文件组成：“expl0rer.exe”、“MFCD3O.DLL”、“SysModule64.DLL”、“SysModule32.DLL”
　　
　　如果用户感染此病毒，建议杀毒后立即重新启动，这样，系统中的病毒模块可以彻底被释放。
　　
　　一、病毒主程序进行下列操作：1.拷贝自身为系统目录的“expl0rer.exe”（中间的圈是数字零）
　　
　　同时释放“MFCD3O.DLL”（自身拷贝）到windows目录“SysModule64.DLL” 到系统目录。
　　
　　2 调用“regsvr32.exe”将“SysModule64.DLL”注册为系统COM组件。
　　
　　regsvr32.exe /s %System%SysModule64.DLL
　　
　　3. 运行系统目录的“expl0rer.exe”
　　
　　4. 创建bat文件，将自身删除。
　　
　　二、SysModule64.DLL，修改注册表，注册为explorer.exe的扩展模块。被加载到explorer.exe进程中。
　　
　　HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
　　
　　CurrentVersionExplorerShellExecuteHooks
　　
　　病毒使用“LegendHook20030324”作为驻留标记。如果“SysModule64.DLL”发现没有该窗口，立即将“MFCD3O.DLL”拷贝生成系统目录的“expl0rer.exe”，并立即运行。
　　
　　用户进行文件操作时，都会激活“SysModule64.DLL”进行检测，病毒正是采用这种方式保证病毒运行。
　　
　　三、系统目录的“expl0rer.exe”释放“SysModule32.DLL”。
　　
　　利用该dll的“EnableMouseHook”、“EnableKeyboardHook”挂结键盘、鼠标钩子。
　　
　　如果当前输入框的窗口标题是“传奇客户端”、“Legend Of Mir 3”、“legend of mir2”，病毒取得账号、密码、角色、性别等信息，保存到指定文件，发送到指定邮箱。
　　
　　6.Trojan.QQpass7001.b破坏方法：“Trojan.QQpass7001”的变种。
　　
　　偷用户QQ密码，发送到指定邮箱的木马。
　　
　　一、遍历系统目录的文件夹，释放若干自身的拷贝。如果系统为win2K或者XP，创建服务进程。
　　
　　同时，破坏注册表的若干文件关联，如下所示。
　　
　　1 HKEY_CLASSES_ROOTexefileshellopencommand（默认） ： C：SYSTEM VOLUME INFORMATIONUMMJNLS.EXE "%1" %*
　　
　　2 HKEY_CLASSES_ROOTscrfileshellopencommand（默认） ： C：！WNMGIZ.EXE "%1"
　　
　　3 HKEY_CLASSES_ROOTchm.fileshellopencommand（默认） ： C：RAVBINCNDVPY.EXE %1
　　
　　4 HKEY_CLASSES_ROOT xtfileshellopencommand（默认） ： C：RAVBINJWXBCA.EXE %1
　　
　　5 HKEY_CLASSES_ROOT egfileshellopencommand（默认） ： C：PROGRAM FILESNXTNJ.EXE "%1"
　　
　　6 HKEY_CLASSES_ROOTinifileshellopencommand（默认） ： C：HKYLE.EXE %1
　　
　　7 HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentversionRun "OZRHJAI.EXE" ： C：DOCUMENTS AND SETTINGSCXEJ.EXE
　　
　　8 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServices
　　
　　CIHVJSM.EXE ——> 随机（服务名）CIHVJSM.EXE ： （程序路径）C：SYSTEM VOLUME INFORMATIONCIHVJSM.EXE
　　
　　二、遍历内存，终止下列进程，并删除相应文件。
　　
　　kav9x.exe kavsvc9x.exe kavsvcui.exe kav32.exe smenu.exe ravmon.exe passwordguard.exe vpc32.exe watcher.exe
　　
　　7.Worm.Sober.c破坏方法：一个用vb编写的蠕虫病毒
　　
　　病毒行为：病毒被运行后将显先显示一个假的系统出错框。内容为：“%FileName% has caused an unknown error. Stop： 00000010x18”。（%FileName%代表病毒当前文件名）
　　
　　病毒搜索磁盘中的以下例扩展名。。htt ，。rtf ，。doc ，。xls ，。ini ，。mdb ，。txt ，。htm ，。html ，。wab ，。pst ，。fdb ，。cfg ，。ldb。eml ，。abc ，。ldif ，。nab ，。adp ，。mdw ，。mda ，。mde ，。ade ，。sln ，。dsw ，。dsp ，。vap ，。php。nsf ……从中提取email地址。
　　
　　邮件传播：病毒向所有提取的email地址发送带毒邮件。
　　
　　邮件标题：Ermittlungsverfahren wurde eingeleitet Ihre IP wurde geloggt Sie sind ein Raubkopierer Ich zeige sie an！
　　
　　du wirst ausspioniert Ein Trojaner ist auf Ihrem Rechner！
　　
　　Thank You very very much you are an idiot why me？
　　
　　I hate you Preliminary investigation were started Your IP was logged You use illegal File Sharing ……
　　
　　A Trojan horse is on your PC a trojan is on your computer！
　　
　　Anime， Pokemon， Manga……
　　
　　附件名：www.iq4you-german-test.com www.freewantiv.com www.free4share4you.com www.onlinegamerspro-worm.com www.freegames4you-gzone.com www.anime4allfree.com www.animepage43252.com……
　　
　　8.Worm.Sober.c.enc破坏方法：一个用vb编写的蠕虫病毒
　　
　　病毒行为：病毒被运行后将显先显示一个假的系统出错框。内容为：“%FileName% has caused an unknown error. Stop： 00000010x18”。（%FileName%代表病毒当前文件名）
　　
　　病毒搜索磁盘中的以下例扩展名。。htt ，。rtf ，。doc ，。xls ，。ini ，。mdb ，。txt ，。htm ，。html ，。wab ，。pst ，。fdb ，。cfg ，。ldb。eml ，。abc ，。ldif ，。nab ，。adp ，。mdw ，。mda ，。mde ，。ade ，。sln ，。dsw ，。dsp ，。vap ，。php。nsf ……从中提取email地址。
　　
　　邮件传播：病毒向所有提取的email地址发送带毒邮件。
　　
　　邮件标题：Ermittlungsverfahren wurde eingeleitet Ihre IP wurde geloggt Sie sind ein Raubkopierer Ich zeige sie an！
　　
　　du wirst ausspioniert Ein Trojaner ist auf Ihrem Rechner！
　　
　　Thank You very very much you are an idiot why me？
　　
　　I hate you Preliminary investigation were started Your IP was logged You use illegal File Sharing ……
　　
　　A Trojan horse is on your PC a trojan is on your computer！
　　
　　Anime， Pokemon， Manga……
　　
　　附件名：www.iq4you-german-test.com www.freewantiv.com www.free4share4you.com www.onlinegamerspro-worm.com www.freegames4you-gzone.com www.anime4allfree.com www.animepage43252.com……
　　
　　9.Worm.Sober.c.a破坏方法：一个用vb编写的蠕虫病毒
　　
　　病毒行为：病毒被运行后将显先显示一个假的系统出错框。内容为：“%FileName% has caused an unknown error. Stop： 00000010x18”。（%FileName%代表病毒当前文件名）
　　
　　病毒搜索磁盘中的以下例扩展名。。htt ，。rtf ，。doc ，。xls ，。ini ，。mdb ，。txt ，。htm ，。html ，。wab ，。pst ，。fdb ，。cfg ，。ldb。eml ，。abc ，。ldif ，。nab ，。adp ，。mdw ，。mda ，。mde ，。ade ，。sln ，。dsw ，。dsp ，。vap ，。php。nsf ……从中提取email地址。
　　
　　邮件传播：病毒向所有提取的email地址发送带毒邮件。
　　
　　邮件标题：Ermittlungsverfahren wurde eingeleitet Ihre IP wurde geloggt Sie sind ein Raubkopierer Ich zeige sie an！
　　
　　du wirst ausspioniert Ein Trojaner ist auf Ihrem Rechner！
　　
　　Thank You very very much you are an idiot why me？
　　
　　I hate you Preliminary investigation were started Your IP was logged You use illegal File Sharing ……
　　
　　A Trojan horse is on your PC a trojan is on your computer！
　　
　　Anime， Pokemon， Manga……
　　
　　附件名：www.iq4you-german-test.com www.freewantiv.com www.free4share4you.com www.onlinegamerspro-worm.com www.freegames4you-gzone.com www.anime4allfree.com www.animepage43252.com……
　　
　　10.Worm.Freity破坏方法：一个基于VB.net编写的蠕虫病毒。
　　
　　病毒形为：当病毒运行后发现C：windowsfr8i.exe的文件存在病毒将显示一个消息框。You have been infected by XpCombo Worm Created By LoTti并c：Documents and SettingsAll UsersStart Menu下放一个脚本该脚本在下次系统启动时将被运行。该脚本的功能为把C：windowsfr8i.exe文件做为附件回复给所有outlook收信箱的信件。
　　
　　之后病毒将自己复制到C：Windowsfr8i.exe及C：Program FilesBearSharemy shared folderAngelina Jolie.scr
　　
　　邮件传播：病毒将遍历outlook收信箱的信件，并自动加入病毒附件进行回复。
　　
　　邮件内容从以下随机选择：
　　
　　Heres the file you asked for I think you asked me for this if not just delete it Try it and tell me what you think I cant believe i had this Do you want this file I got this from a friend I didnt have much time to look at it but here take it Well i havent got much time but here it is This is the best i have seen yet Do you want it or not Here it is i think Yeah here it is i found it last nite Whats the Story hi how are you look at this……
　　
　　11.Worm.Anap.c破坏方法：一个29A组织编写的蠕虫病毒。
　　
　　病毒形为：该病毒能根据FS段里的信息判断当前操作系统是否是病毒要求的win9x如果病毒发现不是win9x就显示一个Integrity check failed due to：bad data transmision or bad disk access.的信息框。并在用户点确定后退出。
　　
　　发作：病毒得到当前系统时间，发现当前号数为5时病毒将显示一个标题为i-worm.Anaphylaxis coded by Bumblebee/29a内容为：This is an i-worm. Don't worry， this is not a virus But may occur the worm has been infected by a virus during its travel and both arrived to your computer. The way of the bee之后病毒退出。
　　
　　邮件传播：病毒通过注册表SoftwareMicrosoftWindowsCurrentVersionExplorerShell Folders中的键值Personal得到目录路径。
　　
　　病毒遍历该目录及temp目录里的*.ht*文件，并尝试从这些文件中搜索类如：mailto：后的email地址。并向该地址发送带毒邮件。
　　
　　邮件标题：Patch邮件内容：This is the patch you asked for附件名为：SETUP.EXE
　　
　　12.Trojan.QQPSW.d破坏方法：Visual Basic写的病毒，盗QQ密码的木马，一旦执行，病毒将自我复制到系统中的许多文件夹下：
　　
　　%WINDIR%QQXP.EXE %WINDIR%ALL USERSDESKTOPQQXP.EXE %WINDIR%ALL USERSSTART MENUPROGRAMS启动QQXP.EXE %WINDIR%DESKTOPQQXP.EXE %WINDIR%START MENUPROGRAMS启动QQXP.EXE C：QQXP.EXE C：PROGRAM FILESQQXP.EXE
　　
　　同时生成文件：C：AUTORUN.INF 内容为：[AUTORUN] OPEN=C：qqxp.exe
　　
　　C：WINDOWSPASS.YYZ 保存盗取的密码C：WINDOWSPUT.YYZ 保存盗取的密码
　　
　　它将创建下列注册表键值来使自己随Windows系统自启动：HKLM/SoftwareMicrosoftWindowsCurrentVersionRun默认="%CURFILE%" HKLM/SoftwareMicrosoftWindowsCurrentVersionRun rundll32Q="%WINDIR%qqxp.exe" HKLM/SoftwareMicrosoftWindowsCurrentVersionRunServices rundll32Q="%CURFILE%"等等
　　
　　它伪装成QQ的主界面，盗取QQ用户名密码保存在本地文件中。
　　
　　同时它还将盗取的信息发送到可配置的指定邮箱。
　　
　　注：%WINDIR% 是可变的，是WINDOWS的安装目录（默认为： C：Windows or C：Winnt）。
　　
　　13.Worm.Kelino.n破坏方法：一个冒充为Msn补丁的蠕虫病毒
　　
　　病毒形为：该病毒运行后，先将自己复制到%windows%目录下，文件名为：msn.exe当成功的复制后病毒显示一个标题为msn messenger，内容为：msn patched！
　　
　　的信息框。
　　
　　并在注册表SoftwareMicrosoftWindowsCurrentVersionRun中加入自己的键值：nav32
　　
　　邮件传播：病毒首先尝试通过注册表得到smtp服务器地址，如果失败病毒将使用自己体内保存的smtp服务器地址，使用病毒自己的smtp引擎进行邮件传播。
　　
　　邮件地址获得：病毒通过注册表得到地址簿文件的路径，文件名……搜索里边的email地址并用自己的邮件发送引擎尝试邮件传播。
　　
　　邮件是以msn Support" 的名义发送的。
　　
　　邮件标题：Support Message
　　
　　邮件内容：NEW！！ Update your msn with new patch 6.0.0538 what new on this version： now you can phone free around the world.include usa， canada， france. from your pc to phone free， run Attached file now！
　　
　　msn@microsoft.com
　　
　　附件名：MSNupdate.exe
　　
　　14.Harm.VB.b破坏方法：Visual Basic 6.00写的病毒，一旦运行，将复制多份到系统中，同时修改多项注册表文件关联和自启动键值：HKEY_CLASSES_ROOTexefileshellopencommand（默认） ： %SYSTEM%32AUTHOR.EXE “%1” %*
　　
　　HKEY_CLASSES_ROOTcomfileshellopencommand（默认） ： %SYSTEM%32AUTHOR.EXE “%1” %*
　　
　　HKEY_CLASSES_ROOT xtfileshellopencommand（默认） ： %SYSTEM%32AUTHOR.EXE “%1” %*
　　
　　HKEY_CLASSES_ROOT egfileshellopencommand（默认） ： %SYSTEM%32AUTHOR.EXE “%1” %*
　　
　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentversionRun "author" ： %SYSTEM%32AUTHOR.EXE
　　
　　该病毒是一个恶性的程序，作者极其无聊，一旦中毒，将导致用户无法正常操作，病毒体中包含如下信息：
　　
　　"如果你实在关闭不了本软件，可以给我发email，可能回复的时间要等几天， 你可以拨打求助电话：05325995197 24小时为您服务请找南宫凌云先生"
　　
　　"请点击50下！程序自动关闭！"
　　
　　15.Trojan.Huigezi.fd破坏方法：“灰鸽子”的变种。
　　
　　运行后，显示“该文件和当前系统不兼容，是否继续”。无论选择“确定”还是“取消”，
　　
　　都会进行如下破坏行为。
　　
　　一、拷贝自身为系统目录的 “Gserver.exe”，修改文件属性为“系统”和“隐藏”。
　　
　　并删除原文件，启动新的进程，加参数“/HuiFSetup”。
　　
　　二、修改注册表，以自启动。用户可以手工清除。
　　
　　1 HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentversionRun "huigezi" ： %SYSTEM%GSERVER.EXE
　　
　　2 HKEY_CURRENT_USERSoftwareMicrosoftWindows
　　
　　CurrentversionRun "huigezi" ： %SYSTEM%GSERVER.EXE
　　
　　3 HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentversionRunServices "huigezi" ： %SYSTEM%GSERVER.EXE
　　
　　修改 WIN.INI的 “WINDOWS”的 “RUN" 项指向病毒。
　　
　　三、驻留内存，每隔1分钟，试图连接 “dizgil.yeah.net” 和 “ 202.200.234.183”，
　　
　　通知远程控制端，对本地进行任意控制。
　　
　　16.TrojanDownloader.Purity.b.enc破坏方法：下载指定网址的木马。
　　
　　一、拷贝自身为系统目录的“winservn.exe”，修改注册表以自启动，用户可以手工清除。
　　
　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentversionRun "ContentService" ： %SYSTEM%WINSERVN.EXE二、在当前目录创建 “PurityScan”，拷贝自身过去，命名为“PuritySCAN.exe”，诱惑用户运行。
　　
　　三、病毒每隔一秒钟，下载下列网址的文件到本地运行。
　　
　　http://***www.clickspring.net/install/notify.php？pid=ps&module=install&v=100&b=1015&result=1&message=%CF%B5%CD%B3%CE%DE%B7%A8%D4%DA%CF%FB%CF%A2%CE%C4%BC%FE%D6%D0%CE%AA+%252+%D5%D2%B5%BD%CF%FB%CF%A2%BA%C5%CE%AA+0x%251+%B5%C4%CF%FB%CF%A2%CE%C4%B1%BE%A1%A3++&referer=meadint
　　
　　17.TrojanDownloader.Purity.b破坏方法：下载指定网址的木马。
　　
　　一、拷贝自身为系统目录的“winservn.exe”，修改注册表以自启动，用户可以手工清除。
　　
　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentversionRun "ContentService" ： %SYSTEM%WINSERVN.EXE二、在当前目录创建 “PurityScan”，拷贝自身过去，诱惑用户运行。
　　
　　三、病毒每隔一秒钟，下载下列网址的文件到本地运行。
　　
　　http://***www.clickspring.net/install/notify.php？pid=ps&module=install&v=100&b=1015&result=1&message=%CF%B5%CD%B3%CE%DE%B7%A8%D4%DA%CF%FB%CF%A2%CE%C4%BC%FE%D6%D0%CE%AA+%252+%D5%D2%B5%BD%CF%FB%CF%A2%BA%C5%CE%AA+0x%251+%B5%C4%CF%FB%CF%A2%CE%C4%B1%BE%A1%A3++&referer=meadint
　　
　　18.TrojanDownloader.Purity.a破坏方法：下载指定网址程序到本地运行的病毒。
　　
　　一、拷贝自身为当前用户“ Application Data”路径下的“snoa.exe”。
　　
　　二、修改注册表以自启动。用户可以手工恢复。
　　
　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentversionRun "Ahms" ： C：DOCUMENTS AND SETTINGS“用户名”APPLICATION DATASNOA.EXE
　　
　　三、病毒驻留内存，每隔两个小时，试图下列下列网址的文件。
　　
　　http://***66.150.193.111/install/notify.php？pid=remupd&module=warning&v=100&b=1019&result=0&message=check%5Fversions%28%29%3A+could+not+load+package+definitions+page%2E http://***66.150.193.111/updates/query.php？v=100&b=1019&vt=&c=
　　
　　19.TrojanDownloader.Purity.a.enc破坏方法：下载指定网址程序到本地运行的病毒。
　　
　　一、拷贝自身为当前用户“ Application Data”路径下的“snoa.exe”。
　　
　　二、修改注册表以自启动。用户可以手工恢复。
　　
　　HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentversionRun "Ahms" ： C：DOCUMENTS AND SETTINGS“用户名”APPLICATION DATASNOA.EXE
　　
　　三、病毒驻留内存，每隔两个小时，试图下列下列网址的文件。
　　
　　http://***66.150.193.111/install/notify.php？pid=remupd&module=warning&v=100&b=1019&result=0&message=check%5Fversions%28%29%3A+could+not+load+package+definitions+page%2E http://***66.150.193.111/updates/query.php？v=100&b=1019&vt=&c=
　　
　　20.Trojan.PSW.NewSuper.a破坏方法：窃取游戏"传奇2"密码的木马病毒
　　
　　病毒运行后将自己复制到%WINDIR%目录下，释放其自己附带的动态库（病毒：Trojan.PSW.NewSuper.a.dll）。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun以达到其自启动的目的。
　　
　　遍历当前系统进程中的所有模块，将模块名与以下关键字进行比较：pfw Iparmor EGhost PasswordGuard DFVSNET kvfw kvapfw如果模块名中包含这些关键字，病毒将结束该进程。
　　
　　挂接键盘钩子，窃取游戏"传奇2"的密码、帐号、区号等信息，并通过邮件将这些信息发送到指定邮箱。
　　
　　21.Trojan.PSW.TFinalPassword.ua破坏方法：偷传奇密码。自称“传奇杀手”
　　
　　一、拷贝自身为系统目录的“CnsMln.exe”，
　　
　　二、修改注册表以自启动。
　　
　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentversionRunServices "CnsMln" ： CnsMln.exe
　　
　　三、终止下列反病毒软件和防火墙。
　　
　　RavMon.exe LockDownMain ZoneAlarm EGHOST.EXE MAILMON.EXE KAVPFW.EXE netbargp.exe
　　
　　天网防火墙个人版天网防火墙企业版木马克星噬菌体
　　
　　四、搜索下列信息，发送到指定邮箱。
　　
　　用户名服务器角色名修改密码当前密码新密码新用户
　　
　　22.Trojan.PSW.TFinalPassword.ub破坏方法：偷传奇密码。自称“传奇杀手”
　　
　　一、拷贝自身为系统目录的“QQINFO.exe”，
　　
　　二、修改注册表以自启动。
　　
　　HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentversionRunServices "QQINFO" ： QQINFO.EXE
　　
　　三、终止下列反病毒软件和防火墙。
　　
　　RavMon.exe LockDownMain ZoneAlarm EGHOST.EXE MAILMON.EXE KAVPFW.EXE netbargp.exe
　　
　　天网防火墙个人版天网防火墙企业版木马克星噬菌体
　　
　　四、搜索下列信息，发送到指定邮箱。
　　
　　用户名服务器角色名修改密码当前密码新密码新用户
　　
　　23.Trojan.PSW.NewSuper.a.enc破坏方法：窃取游戏"传奇2"密码的木马病毒
　　
　　病毒运行后将自己复制到%WINDIR%目录下，释放其自己附带的动态库（病毒：Trojan.PSW.NewSuper.a.dll）。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun以达到其自启动的目的。
　　
　　遍历当前系统进程中的所有模块，将模块名与以下关键字进行比较：pfw Iparmor EGhost PasswordGuard DFVSNET kvfw kvapfw如果模块名中包含这些关键字，病毒将结束该进程。
　　
　　挂接键盘钩子，窃取游戏"传奇2"的密码、帐号、区号等信息，并通过邮件将这些信息发送到指定邮箱。
　　
　　24.Backdoor.SdBot.gen.i破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRun HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunServices以达到其自启动的目的。
　　
　　查找下列软件的CD KEY Battlefield 1942 The Road to Rome Battlefield 1942 Battlefield 1942 Secret Weapons of WWII Half-Life
　　
　　猜测其他系统的$IPC密码进行网络传播。
　　
　　为其远程控制端提供服务，使控制端能够通过IRC软件远程控制本地主机。
　　
　　25.Backdoor.SdBot.gen.i.enc破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下。
　　
　　修改注册表：HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun HKEY_LOCAL_MACHINESoftwareMicrosoftWindows
　　
　　CurrentVersionRunServices以达到其自启动的目的。
　　
　　查找下列软件的CD KEY Battlefield 1942 The Road to Rome Battlefield 1942 Battlefield 1942 Secret Weapons of WWII Half-Life
　　
　　猜测其他系统的$IPC密码进行网络传播。
　　
　　为其远程控制端提供服务，使控制端能够通过IRC软件远程控制本地主机。
　　
　　26.Worm.Narit破坏方法：一个蠕虫病毒
　　
　　病毒行为：：该病毒运行后将自己复制到%system%目录，文件名为：djfgucxr.exe病毒修改system.ini文件，加入[Boot] Shell=djfgucxr.exe.病毒还将遍历系统所有的硬盘，将自己复制到根目录，文件名为：？？？？。COM （？代表随机的字符）
　　
　　局域网传播：该病毒遍历局域网络共享资源，将自己复制过去。
　　
　　邮件传播：病毒通过读取注册表得到系统当前使用的smtp服务器地址，并使用自己的smtp引擎发送邮件。进行传播。
　　
　　27.BackDoor.Zombie破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下。
　　
　　修改注册表：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun以达到其自启动的目的。
　　
　　隐藏在后台运行，开放并监听一个UDP端口等待其控制端的连接，为其控制端提供文件操作、注册表操作、进程管理等远程控制服务。
　　
　　28.BackDoor.Zombie.enc破坏方法：后门程序
　　
　　病毒运行后将自己复制到%SYSDIR%目录下。
　　
　　修改注册表：HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun以达到其自启动的目的。
　　
　　隐藏在后台运行，开放并监听一个UDP端口等待其控制端的连接，为其控制端提供文件操作、注册表操作、进程管理等远程控制服务。
　　
　　29.TrojanProxy.Win32.Small.h破坏方法：木马病毒
　　
　　病毒运行后修改注册表：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
　　
　　CurrentVersionRun以达到其自启动的目的。
　　
　　在后台运行监听一个端口等待其控制端的链接。
　　
　　30.TrojanProxy.Win32.Small.h.enc破坏方法：木马病毒
　　
　　病毒运行后修改注册表：HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows
　　
　　CurrentVersionRun以达到其自启动的目的。
　　
　　在后台运行监听一个端口等待其控制端的链接。
　　
　　31.TrojanClicker.Win32.VB.x破坏方法：偷偷连接下列网址
　　
　　http://***www.ideepthroat.com http://***www.69.com http://***www.pussy.com http://***www.clubseventeenlive.com http://***www.jizzmovies.com
　　
　　32.Trojan.PSW.QQDragon.z破坏方法：Trojan.PSW.QQDragon病毒的新变种
　　
　　该病毒附带着以前的多个版本，运行后会其附带以前版的Trojan.PSW.QQDragon病毒释放出来。
　　
　　33.Trojan.PSW.NewSuper.a.dll破坏方法：Trojan.PSW.NewSuper.a病毒所使用的动态库文件，包括Trojan.PSW.NewSuper.a病毒挂接键盘钩子窃取游戏"传奇2"密码的功能
　　
　　34.Backdoor.Leetbot破坏方法：后门程序
　　
　　病毒运行后将自己复制到%WINDIR%目录下，文件为"SVCHOST.EXE".在后台运行，为其控制端提供服务。
　　
　　35.Backdoor.Leetbot.enc破坏方法：后门程序
　　
　　病毒运行后将自己复制到%WINDIR%目录下，文件为"SVCHOST.EXE".在后台运行，为其控制端提供服务。
　　
　　36.Backdoor.Delf.ii破坏方法：后门病毒
　　
　　病毒运行后将释放TrojanProxy.Agent.a和TrojanProxy.Delf.a病毒，并将这两个病毒运行。
　　
　　37.Backdoor.SpyBot.gen.a破坏方法：一个后门程序，该病毒运行后将自己复制到window目录下。并在注册表run项中加入自己的键值。
　　
　　38.Backdoor.SpyBot.gen.a.enc破坏方法：一个后门程序，该病毒运行后将自己复制到window目录下。并在注册表run项中加入自己的键值。
　　
　　39.Trojan.Dropper.Delf.be破坏方法：一个被绑定木马的文件，该病毒运行后将释放3个文件到system目录，并启动这些文件。
　　
　　40.Trojan.Dropper.Delf.be.enc破坏方法：一个被绑定木马的文件，该病毒运行后将释放3个文件到system目录，并启动这些文件。
　　
　　41.Trojan.DropperDjoiner13.set.enc破坏方法：一个绑定器，该工具能把用户指定的文件压缩并能定义解压后的路径及运行方式。
　　
　　42.Trojan.DropperDjoiner13.set破坏方法：一个绑定器，该工具能把用户指定的文件压缩并能定义解压后的路径及运行方式。
　　
　　43.Trojan.DropperGpbinder破坏方法：一个文件绑定器，可以将两个Exe文件捆绑在一块，并指定绑定后的图标。
　　
　　44.Trojan.DropperGpbinder.enc破坏方法：一个文件绑定器，可以将两个Exe文件捆绑在一块，并指定绑定后的图标。
　　
　　45.Backdoor.Delf.eb破坏方法：后门程序，启动后隐藏在后台运行，接收并执行其客户端传来的命令。
　　
　　46.TrojanProxy.Agent.b破坏方法：病毒运行后在系统中建立一个隐藏的代理服务器，TCP端口为：13451
　　
　　47.TrojanProxy.Agent.b.enc破坏方法：病毒运行后在系统中建立一个隐藏的代理服务器，TCP端口为：13451
　　
　　48.TrojanProxy.Small.b破坏方法：病毒运行后在系统中建立一个隐藏的代理服务器，TCP端口为：9259
　　
　　49.TrojanProxy.Small.b.enc破坏方法：病毒运行后在系统中建立一个隐藏的代理服务器，TCP端口为：9259
　　
　　50.TrojanProxy.Agent.a破坏方法：病毒运行后在系统中建立一个隐藏的代理服务器，TCP端口为：1025
　　
　　51.Constructor.BatchGen破坏方法：一个脚本病毒生成器。可以设定一些参数生成特定脚本病毒。
　　
　　52.Constructor.BatchGen.enc破坏方法：一个脚本病毒生成器。可以设定一些参数生成特定脚本病毒。
　　
　　53.Constructor.Smwg.b破坏方法：一个脚本病毒生成器。可以设定一些参数生成特定脚本病毒。
　　
　　54.Trojan.Dropper.Xbinder.10破坏方法：一个Exe文件绑定器。可以把指定的两个文件捆绑在一起。
　　
　　55.Trojan.Dropper.Xbinder.20破坏方法：一个Exe文件绑定器。可以把指定的两个文件捆绑在一起。
　　
　　56.Backdoor.mIRC.RunA破坏方法：黑客工具包的组件，任务是运行a.bat（PE后门程序）
　　
　　57.Trojan.DownLoad.Blackcobra破坏方法：一个自动下载器，从指定网站下载一个文件并执行。
　　
　　58.Trojan.Downloader.SSD.05破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　59.Trojan.Downloader.SSD.05.enc破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　60.Trojan.Downloader.SSD.04b破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　61.Trojan.Downloader.SSD.04b.enc破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　62.Trojan.Downloader.Istbar.p破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　63.Trojan.Downloader.Istbar.p.enc破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　64.Trojan.Downloader.Istbar.m破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　65.Trojan.Downloader.Istbar.m.enc破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　66.Trojan.Downloader.Skoob破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　67.Trojan.Downloader.Lan破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　68.Trojan.Downloader.Illmob.b破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　69.Trojan.Downloader.Illmob.a破坏方法：一个自动下载器，从特定网站下载一个文件并执行。
　　
　　70.TrojanDownloader.Win32.Deepgal破坏方法：下载http://***deepskygalaxy.com/的病毒到本地运行
　　
　　71.TrojanDownloader.Win32.Deepgal.enc破坏方法：下载http://***deepskygalaxy.com/的病毒到本地运行
　　
　　72.Trojan.QQ3344.al破坏方法：病毒：“Trojan.QQ3344”变种，会突然关闭机器。
　　
　　73.TrojanClicker.Win32.VB.y破坏方法：调用IE每隔一分钟偷偷连接http://***www.cav.ru.
　　
　　74.Worm.Win32.Delinf破坏方法：通过网络共享目录进行传播的传播的蠕虫病毒
　　
　　75.Backdoor.Delf.ih破坏方法：一个利用IRC软件进行控制的后门程序服务端
　　
　　76.Backdoor.Cabrotor.10.d.Client破坏方法：Backdoor.Cabrotor.10.d病毒的客户端程序
　　
　　77.Trojan.PSW.Capwin.a.set破坏方法：一个盗取用户账号密码的服务端配置生成器
　　
　　78.TrojanProxy.Webber.20.dll破坏方法：病毒使用此动态链接库文件来执行病毒
　　
　　79.Trojan.MSNKeylog.a破坏方法：记录MSN登陆信息的键盘操作记录工具
　　
　　80.TrojanClicker.Win32.VB.z破坏方法：偷偷连接http://***www.armbender.com
　　
　　81.Trojan.PSW.Puppy.a破坏方法：一个盗取用户账号密码的木马病毒。
　　
　　82.Trojan.PSW.Puppy.b破坏方法：一个盗取用户账号密码的木马病毒。
　　
　　83.Trojan.PSW.LdPinch.i破坏方法：一个盗取用户账号密码的木马病毒。
　　
　　84.Trojan.PSW.LdPinch.i.b破坏方法：一个盗取用户账号密码的木马病毒。
　　
　　85.Trojan.PSW.Puppy.a.DLL破坏方法：Trojan.PSW.Puppy.a 的程序组件。
　　
　　86.Trojan.PSW.Capwin.b破坏方法：Trojan.PSW.Capwin.b的程序组件。
　　
　　87.Trojan.PSW.Capwin.a.Dll破坏方法：Trojan.PSW.Capwin.a的程序组件。
　　
　　88.Trojan.PSW.Puppy.b.dll破坏方法：Trojan.PSW.Puppy.b的程序组件。
　　
　　89.TrojanClicker.Win32.VB.w破坏方法：偷偷连接http://***www.outwar.com
　　
　　90.TrojanClicker.Win32.VB.w.enc破坏方法：偷偷连接http://***www.outwar.com