标题：Trojan.Win32.VB.ca
概述
病毒名称： Trojan.Win32.VB..ca 
中文名称： 三叶草 
病毒类型： 木马 
文件 MD5： 8F5517957147CC911585679F9745BAA4 
公开范围： 完全公开 
危害等级： 3 
文件长度： 81,920 字节 
感染系统： windows98以上版本 
开发工具： Microsoft Visual Basic 5.0 / 6.0 
加壳类型： 无
病毒描述
该病毒属木马类，病毒图标为卡通人物图标，用以迷惑用户点击运行。病毒运行衍生病毒文件到 %system32% 下，文件名为 haha.exe ；修改注册表，添加启动项，以达到随机启动的目的；隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项、查找项、文档项，隐藏部分用户的关机、 注销、隐藏 IE 工具栏选项；修改 IE 标题栏。
行为分析
1 、病毒运行后衍生病毒文件到 %system32% 下，文件名为 haha.exe 
%system32%\haha.exe 
2 、修改注册表，添加启动项，以达到随机启动的目的： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices 
新建键值 : 字串 : "haha"="haha.exe" 
3 、隐藏计算机中的驱动器，隐藏当前用户开始菜单中的运行选项，、查找项、文档项，隐藏部分 
用户的关机、注销、隐藏 IE 工具栏选项；修改 IE 标题栏： 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoDrives 
新建键值 : DWORD: 4294967295 (0xffffffff) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoFind 
新建键值 : DWORD: 1 (0x1) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoRecentDocsMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoRun 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoClose 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoFavoritesMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoLogOff 
新建键值 : 类型 : REG_BINARY: 01 00 00 00 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoClose 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoFavoritesMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoLogOff 
新建键值 : 类型 : REG_BINARY: 01 00 00 00 
4 、修改 IE 标题栏： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main 
新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫所侵蚀 , 
注： % System% 是一个可变路径。病毒通过查询操作系统来决定当前 System 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt\System32 ， windows95/98/me 中默认的安装路径是 C:\Windows\System ， windowsXP 中默认的安装路径是 C:\Windows\System32 。  
--------------------------------------------------------------------------------
清除方案
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 ) 
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1) 使用 安天木马防线 “进程管理”关闭病毒进程。 
(2) 删除病毒文件： 
%system32%\haha.exe 
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项： 
HKEY_CURRENT_USER\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoDrives 
新建键值 : DWORD: 4294967295 (0xffffffff) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoFind 
新建键值 : DWORD: 1 (0x1) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoRecentDocsMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoRun 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoClose 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoFavoritesMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoLogOff 　　　　　　　 
新建键值 : 类型 : REG_BINARY: 01 00 00 00 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoClose 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoFavoritesMenu 
新建键值 : DWORD: 1 (0x1) 
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\ 
CurrentVersion\Policies\Explorer\NoLogOff 　　　　　　　 
新建键值 : 类型 : REG_BINARY: 01 00 00 00 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ 
Internet Explorer\Main 
新建键值 : 字串 : "Window Title"=" 您的电脑以被三叶虫