关注恶意软件：

名称：“伪MS下载器”木马（Trojan.Win32.FakeMS.dan）

大小：260 KB

是否加壳：否

影响的平台：WIN9X/ME/NT/2000/XP/2003/Vista/Win7

创建文件：

C:\Documents and Settings\Administrator\「开始」菜单\程序\Internet Explorer.lnk

C:\Documents and Settings\Administrator\Application Data\Main.mdb

C:\Documents and Settings\Administrator\Application Data\setup.inf

C:\Documents and Settings\Administrator\「开始」菜单\程序\Internet Explorer.css

C:\Documents and Settings\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\启动 Internet Explorer 浏览器.css

C:\Documents and Settings\All Users\桌面\Internet Explorer.css

C:\Documents and Settings\All Users\桌面\淘宝商城.snd

C:\WINDOWS\svMain.sql

修改注册表：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidd en,"0"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Hidden,"2"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\HideFileExt," 1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIco n,"1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\Class icStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D},"1"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewSt artPanel\{871C5380-42A0-1069-A2EA-08002B30309D},"1"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIc on,"1","REG_DWORD
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\Clas sicStartMenu\{871C5380-42A0-1069-A2EA-08002B30309D},"1"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewS tartPanel\{871C5380-42A0-1069-A2EA-08002B30309D},"1"
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main,"start page" = hao.new222.info
HKEY_CURRENT_USER\Software\Microsoft\Windows\Currentversion\RunOnce,"Main" =

C:\Documents? and Settings\Administrator\Application Data\Main.mdb
HKEY_CURRENT_USER\.css\(Default) = "cssfile"
HKEY_CURRENT_USER\cssfile\DefaultIcon\(Default) = "

C:\Program Files\Internet? Explorer\iexplore.exe"
HKEY_CURRENT_USER\cssfile\shell\open\command\(Default) = "

C:\Program Files\Internet? Explorer\iexplore.exe hao.newX22.info"
HKEY_CURRENT_USER\.snd\(Default) = "sndfile"
HKEY_CURRENT_USER\sndfile\DefaultIcon\(Default) = "

C:\Program Files\winrar\ico\taobao.ico"
HKEY_CURRENT_USER\sndfile\shell\open\command\(Default) = "

C:\Program Files\Internet? Explorer\iexplore.exe http://server38.2010Xlayer.info:459/?i=2"

行为描述：

该恶意程序含有假冒的微软文件版本信息，存在于

C:\Documents and? Settings\Administrator\Application Data\Microsoft\Media Player\MediaPlayer.dll，通过浏览器 辅助对象启动自身。
从恶意网站60.XXX.12.110下载恶意vbs脚本，恶意vbs脚本经卡巴斯基反病毒软件检测，显示为Trojan.VBS.Agent.kq。该恶意脚本会定时访问http://go.XXXite.info/tan.php弹出广告。
恶意脚本还会修改系统首页，大量修改注册表、修改文件关联、修改某安全软件的配置文件、在桌面、开始菜单以及快速启动栏中创建恶意IE浏览器对象。
修改文件访问控制表，使用户无法删除恶意程序。对于无法删除的文件，可尝试使用该命令修 复：cacls "文件路径" /g everyone:f
另外该恶意脚本还会随时检查自己是否被删除、首页是否被修复，如果被删除或修复又会重新创建，手动清理时请先结束WScript进程。

专家预防建议:

1.建立良好的安全习惯，不打开可疑邮件和可疑网站。

2.不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。

3.使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。

4.现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。

5.安装专业的防毒软件升级到最新版本，并开启实时监控功能。

6.为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。

7.不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。