本病毒所有命名：

影响系统：
Win9x,WinMe,Linux

简介：
1.病毒查找"Windows文件保护"窗口，并隐藏。 2.病毒查找如下进程，并尝试关闭。 avp.exe kavsvc.exe KAVsvcUI.exe rising.exe RsAgent.exe RavTask.exe RavStub.exe

行为分析：
样本是一个采用vc++高级语言编写的木马下载器。它会关闭常见的安全软件，然后利用IE浏览器在后台悄悄下载其它病毒文件并执行。

描述：
1.病毒查找"Windows文件保护"窗口，并隐藏。

2.病毒查找如下进程，并尝试关闭。

avp.exe

kavsvc.exe

KAVsvcUI.exe

rising.exe

RsAgent.exe

RavTask.exe

RavStub.exe

RAVmon.exe

ravtimer.exe

rav.exe

KVFW.EXE

KVsrvXP.exe

KVwsc.exe

Navapw32.exe

navapsvc.exe

PFW.exe

Iparmor.exe

qqsc.exe

360rpt.exe

QQDoctorMain.exe

qqdoctor.exe

qqkav.exe

360safe.exe

idag.exe

rfwstub.exe

rfwmain.exe

rfwsrv.exe

360tray.exe

360safebox.exe

safeboxtray.exe

OllyDBG.EXE

OllyICE.EXE

WinDbg.exe

KPFW32.exe

avconsol.exe

NPFMntor.exe

avp.com

rfwproxy.exe

FYFireWall.exe

safebank.exe

procexp.exe

KAVPF.exe

Navapsvc.exe

webscanx.exe

vsstat.exe

Ras.exe

mmsk.exe

nod32krn.exe

WoptiClean.exe

RAVmonD.exe

adam.exe

IceSword.exe

AgentSvr.exe

AppSvc32.exe

autoruns.exe

avgrssvc.exe

AvMonitor.exe

CCenter.exe

ccSvcHst.exe

FileDsty.exe

FTCleanerShell.exe

HijackThis.exe

isPwdSvc.exe

kabaload.exe

KaScrScn.SCR

KASMain.exe

KASTask.exe

KAVDX.exe

KAVPFW.exe

KAVSetup.exe

KAVStart.exe

KISLnchr.exe

KMailMon.exe

KMFilter.exe

KRegEx.exe

KsLoader.exe

KVCenter.kxp

KvDetect.exe

KvfwMcl.exe

KVMonXP_1.kxp

kvol.exe

kvolself.exe

KvReport.kxp

KVScan.kxp

KVSrvXP.exe

KVStub.kxp

kvupload.exe

KWatch9x.exe

KWatchX.exe

MagicSet.exe

KAV32.exe

PFWLiveUpdate.exe

QHSET.exe

RegClean.exe

Rsaupd.exe

safelive.exe

scan32.exe

shcfg32.exe

SmartUp.exe

SREng.EXE

SysSafe.ex

TrojanDetector.exe

Trojanwall.exe

TrojDie.kxp

UIHost.exe

UmxAgent.exe

UmxAttachment.exe

UmxCfg.exe

UmxFwHlp.exe

UpLive.exe

ravstub.exe

ravtask.exe

ravtool.exe

esafe.exe

kmailmon.exe

kissvc.exe

kaccore.exe

kavstart.exe

kpfwsvc.exe

kwatch.exe

kpfw32.exe

egui.exe

KPPMain.exe

regtool.exe

KRepair.com

3.病毒修改注册表，通过HKLMsoftwaremicrosoftwindows ntcurrentversionimage file execution options [Debugger]的方式作为启动项。

4.病毒从以下地址下载文件列表，列表文件内容如下:



[oo]

t1=20080806

e1=http://www.se____/1.exe

t2=20080806

e2=http://www.se___g.cn/_b2.exe

t3=20080806

e3=http://www.se____g.cn/_b3.exe

t4=20080806

e4=http://www.se____rg.cn/_b4.exe

以下省略...



5.病毒按照列表下载文件到临时文件夹并执行。