病毒EXE主程序部分:
  文件大小:35840字节
  MD5 校验:ecebfb14005544cc4014d0fbf601f7a0
  加壳名称:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
  开发工具:Microsoft Visual C++ 6.0
  壳结尾处:004194EB - E9 1CA9FEFF  JMP l9.00403E0C
  入口地址:00003E0C
  解密函数(所有用到的字符串都是加密存放的):
  00403869  E8 12F5FFFF  CALL l9.00402D80
  解密后的所有字符串如下:
  0012FE58 0040BFD4 ASCII "{701407A4-B171-4E8A-AD7C-F594B07B2800}"
  0012FE78 0040BFFC ASCII "%s%s.dll"
  0040C008=l9.0040C008 (ASCII "%sdrivers%s.sys")
  0040C020=l9.0040C020 (ASCII "rundll32.exe")
  0040C030=l9.0040C030 (ASCII "DllRegisterServer")
  0040C044=l9.0040C044 (ASCII "%s%s %s%s.dll,%s")
  0040C058=l9.0040C058 (ASCII "NotePad")
  0040C060=l9.0040C060 (ASCII "WinWord")
  0040C068=l9.0040C068 (ASCII "msvcrt.dll")
  0040C074=l9.0040C074 (ASCII ".Globalrkdoor")
  0040C088=l9.0040C088 (ASCII ".GlobalLocalSystemX")
  0040C0A8=l9.0040C0A8 (ASCII "SOFTWAREMicrosoftWindowsCurrentVersion")
  0040C0D4=l9.0040C0D4 (ASCII "ping -n 3 127.0.0.1>nul")
  0040C0EC=l9.0040C0EC (ASCII ":Repeat")
  0012FE48 0040C0F4 ASCII "del "%s""
  0040C100=l9.0040C100 (ASCII "if exist "%s" goto Repeat")
  0040C11C=l9.0040C11C (ASCII "cd %c:")
  0040C124=l9.0040C124 (ASCII "del %0")
  0040C12C=l9.0040C12C (ASCII "%s%s.bat")
  运行函数:
  004038F2  E8 29E3FFFF  CALL l9.00401C20
  创建窗口:
  00401C66  FF15 C8404000 CALL DWORD PTR DS:[4040C8]       ; USER32.CreateWindowExA
  程序会在创建窗口的过程中,运行如下代码(只摘录了函数入口地址):
  004020F0  55       PUSH EBP
  病毒执行的功能函数(放的地方很隐蔽,一般很难动态跟踪定位到这里):
  00402136  E8 B5F1FFFF  CALL l9.004012F0   ;以读写方式打开设备".Globalrkdoor"
  0040213B  85C0      TEST EAX,EAX     ;对比
  0040213D  75 05     JNZ SHORT l9.00402144 ;判断设备是否可以打开(是否存在)
  0040213F  E8 2C130000  CALL l9.00403470   ;不存在则在这里创建,并进行所有其它的安装操作
  释放病毒DLL组件文件(文件名随机):
  C:WINDOWSsystem32*.dll
  释放病毒驱动文件(文件名随机,驱动以服务方式安装运行):
  C:WINDOWSsystem32drivers*.sys
  创建注册表标记项:
  00402D41  E8 BAE2FFFF  CALL l9.00401000
  注册表标记项位置如下(名称全部随机):
  "HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionAfUlRqs"
  0012EF1C 0012F2BC |ValueName = "vybx"
  0012EF1C 0012F2EC |ValueName = "mqnyr"
  0012EF1C 0012F334 |ValueName = "ejusad" 
         0012EF1C 0012F31C ASCII "vensham"
  加载运行释放出来的病毒DLL组件程序:
  0012F054 0012F07C ASCII "C:WINDOWSsystem32rundll32.exe C:WINDOWSsystem32*.dll,DllRegisterServer"
  创建批处理文件调用运行,实现自我删除:
  C:WINDOWSsystem32*.bat
  关闭退出。
  -----------------------------------------------------------------------------------------------
  病毒DLL组件部分:
  文件大小:45056字节
  MD5 校验:文件MD5值不固定,受配置信息干扰
  开发工具:Microsoft Visual C++ 6.0 DLL
  未加壳,但DLL中的所有字符串全部加密保存。
  DLL中有4个导出函数:
  DllCanUnloadNow
  DllGetClassObject
  DllRegisterServer
  DllUnregisterServer
  恶意网址:
  [url]http://www.outhang.cn/api.php?[/url]
  [url]http://www.outhang.cn/update.php?[/url]
  表单结构:
  id=%d&mac=%s&type=%d&setupdate=%d%02d%02d&homepage=%s
  id=%d&updateversion=%d
  -----------------------------------------------------------------------------------------------
  病毒SYS驱动部分:
  文件大小:28608字节
  MD5 校验:文件MD5值不固定,受配置信息干扰
  驱动功能:
  1、保护病毒主程序释放出来的DLL文件、SYS文件和系统HOSTS文件,使之不被修改、删除。
  2、监视保护驱动程序自身服务启动项(删除后会重新创建)。
  3、保护驱动程序自身正在运行着的服务,使之不被停止、终止、禁用、删除。
  4、驱动服务启动(启动优先级为“Boot”)后,会自动调用DLL组件运行(用“rundll32.exe”加载调用)。
  5、设置系统IE浏览器的默认首页为“[url]http://www.3929.cn/?tn=102731[/url]”(“tn=”后面的编号不唯一)。
  该病毒就只有唯一一个启动项,那就是这个恶意驱动程序的服务项,启动优先级为“Boot”。
  -----------------------------------------------------------------------------------------------
  手动删除该病毒的方法步骤(经过实际测试绝对有效):
  第一步:寻找判断定位病毒释放出来的DLL和SYS的文件名称(DLL和SYS加一起一共两个文件)。
  第二步:使用PE盘启动计算机,删除掉病毒释放出来的DLL和SYS文件(DLL和SYS加一起一共两个文件,删除前请事先备份)。
  第三步:重新启动计算机进入正常系统,删除掉驱动的服务启动和其它注册表残留。
  第四步:打开“IE设置选项”,设置您想要设置的默认IE浏览器主页。
  第五步:使用杀毒软件进行全盘查杀病毒(该病毒为***下载器下载到您计算机中的病毒,那个***下载器还下载了N多其它病毒也同时安装到了您的计算机系统中)。
  第六步:该病毒清理完毕。