标题：Trojan-Downloader.Win32.Delf.awy
概述
超级巡警团队监测到恶意程序Trojan-Downloader.Win32.Delf.gen变种发布速度很快，并且针对大多数反病毒软件进行了相应的处理，以逃避被查杀。该程序不仅会在网页文件中插入恶意框架代码，通过多种系统或应用程序漏洞传播木马，还会释放利用系统自动运行功能的autorun.inf文件及相应文件。
病毒标签： 
病毒名称： Trojan-Downloader.Win32.Delf.awy 
中文名称： 下载者变种 
病毒类型： 木马类 
文件 MD5： 72B805355E9E4A97D9975E13A793577C 
公开范围： 完全公开 
危害等级： 中等 
文件长度： 824,328 字节 
感染系统： Win98以上系统 
开发工具： Borland Delphi 6.0 - 7.0 [Overlay] 
命名对照： 驱逐舰[Trojan.DownLoader.16917] 
瑞星[Worm.Cnt.w]
行为分析
1、衍生下列副本与文件 
%Windir%\ abc.exe 
%Windir%\update.exe 
%Windir%\update24.exe 
%Windir%\toolsp.exe 
%Windir%\cc123.dll 
%System32%\alsmt.exe 
%System32%\albus.dll 
%System32%\alstd.dat 
%System32%\stdplay.dll 
%System32%\stdstub.dll 
%System32%\stdupnet.dll 
%System32%\stdvote.dll 
%System32%\ybzwkdjnrfvijev.dll 
%System32%\dirvers\spoclsv.exe 
%System32%\dirvers\Albus.SYS 
2、新建注册表键值： 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion 
\Run\svcshare 
键值: 字符串: "%WINDOWS%\system32\drivers\spoclsv.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\Run\System键值: 字符串: "%Program Files%\Common Files\System\Updaterun.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\RunOnce\alsmt.exe键值: 字符串: "%WINdir\system32\alsmt.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\@ 
键值: 字符串: "C:\WINDOWS\system32\ybzwkdjnrfvijev.dll" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\ThreadingModel键值: 字符串: "Apartment" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\Explorer\Browser Helper Objects\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\ 
3、更改注册表键值： 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer 
\Main\Start Page 
?prd=ie&pver=6&ar=msnhome 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\TypedURLs\url1 
?id=189150228&logo=1" 
旧: 字符串: "http://www./isapi/redir.dll 
?prd=ie&pver=6&ar=msnhome" 
3、访问指定服务器地址下载病毒体： 
服务器地址下载文件 
no.(61.152.116.132)abc1.exe 
(58.220.232.90)abc.exe 
rz.(61.152.116.132)31505.dat 
4、打开指定页面，获取更新IP 
注：% System%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。 
--------------------------------------------------------------------------------
清除方案
1、使用安天木马防线可彻底清除此病毒(推荐) 
2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1) 使用安天木马防线“进程管理”关闭病毒进程 
spoclsv.exe 
(2) 删除病毒释放文件 
%Windir%\ abc.exe 
%Windir%\update.exe 
%Windir%\update24.exe 
%Windir%\toolsp.exe 
%Windir%\cc123.dll 
%System32%\alsmt.exe 
%System32%\albus.dll 
%System32%\alstd.dat 
%System32%\stdplay.dll 
%System32%\stdstub.dll 
%System32%\stdupnet.dll 
%System32%\stdvote.dll 
%System32%\ybzwkdjnrfvijev.dll 
%System32%\dirvers\spoclsv.exe 
%System32%\dirvers\Albus.SYS 
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion 
\Run\svcshare 键值: 字符串: "%WINDOWS%\system32\drivers\spoclsv.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\Run\System键值: 字符串: "%Program Files%\Common Files\System\Updaterun.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\RunOnce\alsmt.exe键值: 字符串: "%WINdir\system32\alsmt.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\@ 
键值: 字符串: "C:\WINDOWS\system32\ybzwkdjnrfvijev.dll" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\InprocServer32\ThreadingModel键值: 字符串: "Apartment" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion 
\Explorer\Browser Helper Objects\{D3341007-C77C-4F1C-B2A5-D94D5BE55F7E}\