日期：2008-04-15
病毒名称：Win32.Troj.DownLoaderT.dl.69632
病毒类型：木马下载器
危害指数：2
传播途径：网页木马/文件捆绑
传播平台：WIN9X/WINME/WINNT/Windows 2000/Windows XP/Windows 2003
这是一个木马下载器程序。它进入用户系统后会注入到桌面进程explorer.exe 和 登录管理器进程winlogon.exe中，执行秘密下载。同时，该木马会试图关闭系统自带的错误报告系统和部分杀毒软件，防止用户对它进行查杀。
1. 关闭系统错误报告服务(ERSvc)：
修改HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PCHealth\ErrorReporting的DoReport,ShowUI,ReportBootOk
键为0
2.修改注册表项，隐藏文件
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
Explorer\Advanced\Folder\Hidden\SHOWALL
键值："CheckedValue"=dword:00000000
3.修改日期：
修改系统日期为 2005 年。
4.创建c:\autorun.inf 文件。
[AutoRun]
open=auto.exe
shellexecute=auto.exe
shell\Auto\command=auto.exe
5.修改注册表,新建服务,并以服务的方式达到随机启动的目的：
HKEY_CURRENT_USER\SYSTEM\CurrentControlSet\Services\dd33gsd2
键值 : 字串 : "ImagePath"="C:\WINDOWS\system32\dd33gsd2.exe -k"
服务名称： dd33gsd2
显示名称： dd33gsd2
描述： dd33gsd2
可执行文件的路径： C:\WINDOWS\system32\dd33gsd2.exe
启动方式：自动
6.查找对话框窗口，判断窗口类是否为"Button"，窗口名为"是(&Y)",如果是则向该窗口发送左键按下消息，以关闭该窗口
7.查找是否存在KAVStart进程，如果存在则向其"操作"菜单发送"退出"命令。
8.从http://al**a.ve**nx.cn/update.txt下载木马地址列表。该列表包含了木马程序的下载地址信息。
==============================================================================
病毒名称：Win32.Troj.CinmusT.dl.139264
病毒类型：广告软件
危害指数：1
传播途径：网页木马/文件捆绑
传播平台：WIN9X/WINME/WINNT/Windows 2000/Windows XP/Windows 2003
这是一个广告木马程序的一部分。在它的配合下，广告程序可以在用户浏览网页时自动弹出广告。广告程序本身并不会对系统做出危害性操作，但频繁弹出的广告页面会令用户十分烦躁。
1. 比较当前被注入的进程是否含有iexplorer.exe字符,如果没有则不做任何操作;
2. 判断如下注册表项是否存在:
1) HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{16B770A0-0E87-4278-B748-
2460D64A8386}
2) HKCR\CLSID\{16B770A0-0E87-4278-B748-2460D64A8386}
3) HKCR\CLSID\{16B770A0-0E87-4278-B748-2460D64A8386}\InprocServer32
不存在则跳转结束;
3. 设置修改驱动对象在内核中的权限优先级.
墨者安全专家建议：
1.建议已安装其他杀毒软件的用户，下载并安装墨者安全专家版，并开启“革离术”保护自己的杀毒软件，和其它计算机安全软件不会被此病毒所关掉，和破坏。以保障所使用的计算机安全防护软件能正常的运行和所有功能的正常使用。
2.点击墨者安全专家控制台——选择漏洞补丁——选择禁止优盘光驱自动运行。
3.请开启墨者安全专家的“革离术”进行实时防护，并使用系统安全漏洞中心，检查系统漏洞，发现漏洞请点击“修复”完成漏洞修补。
4.保持使用墨者安全豪华版套装中的正版趋势反病毒专家，进行对系统病毒经常扫描的习惯，发现病毒或者隐患及时清除。
5.请将墨者安全豪华版中的正版趋势反病毒专家的自动升级功能开启，保持自动更新为最新病毒库，保证病毒及木马的及时发现及清除。
墨者安全专家最佳保护状态：
.jpg)