标题：Trojan.Win32.QiaoZhaz.c
病毒档案
病毒名称： Trojan.Win32.QiaoZhaz.c 
病毒类型： 木马 
文件 MD5： 6f904cd896df07bf731663537753449 
公开范围： 完全公开 
文件长度： 446,303 字节 
开发工具： Microsoft Visual C++ 6.0 
加壳类型 : 无
病毒危害
危害等级5 　
感染系统Win95 Win98 Win2000 WinXP等系统
病毒描述
删除“文件夹选项”中的“显示隐藏文件”选项，删除“文件夹选项”。删除开始菜单中的运行、关机、注销、搜索。修改TXT文件的文件 
关联，打开任意该格式文件都将打开病毒文件。在每次开机时弹出系统提示，病毒运行时弹出注 
销提示，提示内容相同用以对用户进行敲诈勒索，并删除非系统盘的文件。
行为分析
1 、 病毒运行后复制自身到 %system32% 及相关文件夹下 
%system32% 飞越星球 .scr 
%system32%\dllcash\taskmgr.exe 
%system32%\taskmgr.exe 
C:\Documents and Settings\All Users\Application Data\ 
Microsoft\win1ogon.exe 
C:\Documents and Settings\Administrator\ 「开始」菜单 \ 程序 \ 
启动 \svchost.exe 
2 、 修改注册表 ， 添加启动项 ： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
键值 : 字串 : " svchost.exe "="C:\Documents and Settings\All Users\Application Data\Microsoft\win1ogon.exe" 
3 、 修改注册表 ， 创建服务 ： 
服务名称：WINS （服务名后面有3个空格） 
服务描述：WINS为客户提供系统域名解析服务 
启动方式：自动 
4 、 修改屏幕保护文件，及启动时间： 
HKEY_CURRENT_USER\Control Panel\Desktop 
键值 : 字串 : " SCRNSAVE.EXE "="%windir%\system32\ 飞越星球 .scr" 
HKEY_CURRENT_USER\Control Panel\Desktop\ScreenSaveTimeOut 
新: 字符串 : "60" 
旧: 字符串: "900" 
5 、通过注册表对“文件夹选项”和其相关设置进行更改 
删除如下项，删除“文件夹选项”中的“显示隐藏文件”选项，实现隐藏 
具有隐藏文件属性的文件并锁定： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\ 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue 
键值 : DWORD: 1 (0x1) 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\DefaultValue 
键值 : DWORD: 2 (0x2) 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\HelpID 
键值 : 字符串 : "shell.hlp#51105" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\HKeyRoot 
键值 : DWORD: 2147483649 (0x80000001) 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\RegPath 
键值 : 字符串 : "Software\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\Text 
键值 : 字符串 : " 显示所有文件和文件夹 " 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\Explorer\Advanced\Folder\Hidden\SHOWALL\Type 
键值 : 字符串 : "radio" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Folder\Hidden\SHOWALL\ValueName 
键值 : 字符串 : "Hidden" 
修改如下项 ， 隐藏系统文件和已知文件的扩展名和 ： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\Hidden 
新 : DWORD: 2 (0x2) 
旧 : DWORD: 1 (0x1) 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Explorer\Advanced\HideFileExt 
新 : DWORD: 1 (0x1) 
旧 : DWORD: 0 (0) 
创建如下项禁用 “ 文件夹选项 ”： HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\ 
Policies\Explorer\NoFolderOptions 
键值: DWORD: 1 (0x1) 
6 、 修改txt文件的文件关联，更改为病毒文件： 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\txtfile\shell\open\command 
键值 : 字串 : @="C:\Documents and Settings\All Users\Application 
Data\Microsoft\win1ogon.exe" 
7 、 将任务管理器文件替换为病毒文件，使用户无法使用任务管理器结束病毒进程，同时运行 
病毒文件，是感染机器恢复到被病毒感染的初始状态，使用户对病毒的处理前功尽弃。 
8 、创建系统提示，在每次开机时弹出用以对用户进行敲诈勒索。 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
policies\system\legalnoticecaption 
新建键值: 字串: "警告:" 
原键值: <未设置键值> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ 
policies\system\legalnoticetext 
新建键值 : 字串 : " 发现您硬盘内曾使用过盗版了的我公司软件 , 
所以将您部份文件移到锁定了的扇区 , 若要解锁将文件释放 , 请电邮 　原键值: <未设置键值> 
注： %system32% 是一个可变路径。病毒通过查询操作系统来决定当前 windows 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt ， windows95/98/me/xp 中默认的安装路径是 C:\Windows 。
清除方案
1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 ) 
2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1) 启动安天木防线的进程管理关闭病毒进程： 
win1ogon.exe <路径：C:\Documents and Settings\All 
Users\ApplicationData\Microsoft\win1ogon.exe> 
svchost.exe <路径：C:\Documents and Settings\Administrator\ 
「开始」菜单\程序\启动\svchost.exe> 
(2) 删除病毒文件： 
%system32%飞越星球.scr 
%system32%\dllcash\taskmgr.exe 
%system32%\taskmgr.exe 
C:\Documents and Settings\All Users\Application Data\Microsoft\win1ogon.exe 
C:\Documents and Settings\Administrator\「开始」菜单\程序\启动\svchost.exe 
(3)　 将taskmgr.exe文件复制到C:\windows\system32目录下。
(4) 双击“敲诈者病毒变种C专用注册表修复工具.reg”将其内容导入注册表。