标题：Trojan-PSW.Win32.WOW.ck
资料
病毒名称： Trojan-PSW.Win32.
病毒类型： 木马 
文件 MD5： 072C9A1423C27FBB1D942D6A2FA4E4FE 
公开范围： 完全公开 
危害等级： 3 
文件长度： 46,350 字节 
感染系统： Win9X以上系统 
开发工具： Microsoft Visual Basic 5.0 / 6.0 
加壳类型： nSPack 3.1
病毒描述
该病毒属木马类。病毒运行后在 program files 、 %windir% 、 %system32% 文件夹下复制自身，生成 14 个病毒文件；修改注册表，添加启动项，以达到随机启动的目的；将 IE 更改为非默认浏览器；修改 大部分文件的启动方式，和文件关联，并创建新的文件类型。
行为分析
1 、复制自身病毒运行后在系统盘下大量复制自身： 
c:\Program Files\Common Files\inexplore.pif 
c:\Program Files\Internet Explorer\ 
%windir%
% windir%\Debug\DebugProgram.exe 
% windir%\exerouter.exe 　 
% windir%\ 
% windir%\ 
% windir%\Shell.sys 
%system32%\smss.exe 
%system32%\command.pif 
%system32%\ 
%system32%\
%system32%\
%system32%\ 
2 、 修改注册表，添加启动项，以达到随机启动的目的： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 
键值 : 字串 : "TProgram"="C:\WINNT\smss.exe" 
3 、 将 IE 更改为非默认浏览器：HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 
键值 : 字串 : "Check_Associations"="No" 
4 、 修改文件的启动方式和文件关联HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew 
新键值 : 字串 : "Command"="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1" 
原键值 : 可扩充字串 : "Command"="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe 
新键值 : 字串 : @="WindowFiles" 
原键值 : 字串 : @="exefile" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\shell\open\ 
command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\" %1" 
原键值 : 字串 : @=""C:\Program Files\Internet Explorer\iexplore.exe" %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA- 
08002B30309D}\shell\OpenHomePage\Command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\"" 
原键值 : 可扩充字串 : @="C:\Program Files\Internet Explorer\iexplore.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command 
新键值 : 字串 : @="%SystemRoot%\" 
原键值 : 可扩充字串 : @="%SystemRoot%\Explorer.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command 
新键值 : 字串 : @="%SystemRoot%\system32\RUNDLL32.EXE 
NETSHELL.DLL,InvokeDunFile %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\system32\RUNDLL32.EXE 
NETSHELL.DLL,InvokeDunFile %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ %1" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\iexplore.exe" %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\" -nohome" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\command 
新键值 : 字串 : @=""C:\Program Files\common~1\inexplore.pif"" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\iexplore.exe"" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\command 
新键值 : 字串 : @="rundll32.exe %SystemRoot%\system32\mshtml.dll, 
PrintHTML "%1"" 
原键值 : 可扩充字串 : @="rundll32.exe %SystemRoot%\system32\mshtml.dll, 
PrintHTML"%1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\common~1\inexplore.pif" -nohome" 
原键值 : 字串 : @=""C:\Program Files\Internet Explorer\iexplore.exe" -nohome" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\command 
新键值 : 字串 : @="%SystemRoot%\System32\rundll32.exe setupapi, 
InstallHinfSectionDefaultInstall 132 %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\System32\rundll32.exe 
setupapi,InstallHinfSection DefaultInstall 132 %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\command 
新键值 : 字串 : @="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon 
新键值 : 字串 : "Shell"="explorer.exe 1" 
原键值 : 字串 : "Shell"="Explorer.exe"
注
%windir% 是一个可变路径。病毒通过查询操作系统来决定当前 windows 文件夹的位置。 Windows2000/NT 中默认的安装路径是 C:\Winnt ， windows95/98/me/xp 中默认的安装路径是 C:\Windows;%system32% 同理。 
--------------------------------------------------------------------------------
清除方案
安天木马防线1 、 使用安天木马防线可彻底清除此病毒 ( 推荐 )
手工清除2 、 手工清除请按照行为分析删除对应文件，恢复相关系统设置。 
(1) 使用 安天木马防线 “进程管理”关闭病毒进程 
(2) 删除病毒文件： 
c:\Program Files\Common Files\inexplore.pif 
c:\Program Files\Internet Explorer\ 
%windir%　% windir%\Debug\DebugProgram.exe 
% windir%\exerouter.exe 
% windir%\ 
% windir%\
% windir%\Shell.sys 
%system32%\smss.exe 
%system32%\　%system32%\ 
%system32%\ it
%system32%\
(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项： 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ 
CurrentVersion\Run 
键值 : 字串 : "TProgram"="C:\WINNT\smss.exe" 
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main 
键值 : 字串 : "Check_Associations"="No" 
恢复注册表原键值（如果有注册表备份可以直接将其导入）： 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.bfc\ShellNew 
新键值 : 字串 : "Command"="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\syncui.dll,Briefcase_Create %2!d! %1" 
原键值 : 可扩充字串 : "Command"="%SystemRoot%\system32\ 
rundll32.exe %SystemRoot%\system32\syncui.dll, 
Briefcase_Create %2!d! %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.exe 
新键值 : 字串 : @="WindowFiles" 
原键值 : 字串 : @="exefile"　 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\iexplore.exe\ 
shell\open\command 
新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ 
" %1" 
原键值 : 字串 : @=""C:\Program Files\Internet 
Explorer\iexplore.exe" %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\ 
{871C5380-42A0-1069-A2EA-08002B30309D}\ 
shell\OpenHomePage\Command 
新键值 : 字串 : @=""C:\Program Files\InternetExplorer\ 
"" 
原键值 : 可扩充字串 : @="C:\Program Files\Internet Explorer\ 
iexplore.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Drive\shell\find\command 
新键值 : 字串 : @="%SystemRoot%\" 
原键值 : 可扩充字串 : @="%SystemRoot%\Explorer.exe" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\dunfile\shell\open\command 
新键值 : 字串 : @="%SystemRoot%\system32\RUNDLL32.EXE 
NETSHELL.DLL,InvokeDunFile %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\system32\RUNDLL32.EXE 
NETSHELL.DLL,InvokeDunFile %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ftp\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 
%1" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ 
iexplore.exe" %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 
" -nohome" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ 
iexplore.exe" -nohome" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\opennew\ 
command 
新键值 : 字串 : @=""C:\Program Files\common~1\inexplore.pif"" 
原键值 : 字 串 : @=""C:\Program Files\Internet Explorer\ 
iexplore.exe"" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\htmlfile\shell\print\ 
command 
新键值 : 字串 : @="rundll32.exe %SystemRoot%\system32\ 
mshtml.dll,PrintHTML "%1"" 
原键值 : 可扩充字串 : @="rundll32.exe%SystemRoot%\system32\ 
mshtml.dll, PrintHTML"%1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http\shell\open\command 
新键值 : 字串 : @=""C:\Program Files\common~1\ 
inexplore.pif" -nohome" 
原键值 : 字串 : @=""C:\Program Files\Internet Explorer\ 
iexplore.exe" -nohome" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\inffile\shell\Install\ 
command 
新键值 : 字串 : @="%SystemRoot%\System32\rundll32.exe 
setupapi,InstallHinfSection DefaultInstall 132 %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\System32\rundll32.exe 
setupapi,InstallHinfSection DefaultInstall 132 %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Unknown\shell\openas\ 
command 
新键值 : 字串 : @="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" 
原键值 : 可扩充字串 : @="%SystemRoot%\system32\rundll32.exe 
%SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1" 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\ 
CurrentVersion\Winlogon 
新键值 : 字串 : "Shell"="explorer.exe 1" 
原键值 : 字串 : "Shell"="Explorer.exe"