folder.htt

folder.htt是一個超文本模板檔案，

基本介紹

• 中文名：folder.htt
• 病毒別名：VBS/Redlof.A, HTML.Redlof.A
• 傳播範圍：低
• 破壞性：低

簡介

剛裝好的windows只有一個folder.htt，在\windows\web\裡面，如果使用web瀏覽方式，那么打開一個資料夾瀏覽，folder.htt就從\windows\web\里複製到當前資料夾，並根據當前資料夾的具體設定相應更改，這樣每個資料夾都可以保持自己的web風格了。有人報告他的電腦中有很多folder.htt檔案，這是正常的，你瀏覽過多少個資料夾，就會生成多少新的folder.htt，不必恐慌！

folder.htt是一個超文本模板檔案，用”記事本”打開可以看到滿篇的都是HTML標籤，不懂HTML就不要改了：）既然是就超文本模板檔案支持所有HTML格式和語法，也支持各類VBscript、javascript和java applet，攻擊folder.htt的病毒，比如歡樂時光就是利用Vbscript來達到目的的。如果發現硬碟里存在大量的Desktop.ini和Folder.htt，則說明機器已經感染了VBS.KJ病毒。

病毒別名：VBS/Redlof.A, HTML.Redlof.A

傳播範圍：低

破壞性：低

蔓延性：中

該病毒曾為2002年度十大流行病毒排行榜。破壞性不大。根據網路提供的防毒信息，可下載金山毒霸專殺工具，大小為56KB，問題可解決。

病毒行為

VBS.KJ是一個感染html/htm、jsp、vbs、php、asp的腳本類病毒。和歡樂時光“VBS.HappyTime”一樣，該病毒採用VBScript語言編寫，在網際網路上通過電子郵件進行傳播，也可以通過檔案感染；感染後的機器系統資源被大量消耗，速度變慢；利用Windows系統的“資源管理器”進行寄生與感染。 然而，與歡樂時光相比，VBS.KJ 病毒顯然經過改進。首先，每次感染都會進行一次變形，可以逃過普通的特徵碼匹配查找方法；其次，該病毒不會主動傳送電子郵件！而是修改系統中 Microsoft Outlook Express、Microsoft Outlook 2000/XP 的設定，採用html格式的信紙來撰寫郵件，病毒感染全部信紙！當傳送郵件時病毒會附在郵件中，隱蔽性更強！第三，會感染 html/htm、jsp、vbs、php、asp等格式的檔案，不會刪除系統檔案。

病毒生成

1、在每個檢查到的資料夾下生成desktop.ini和folder.htt檔案(這兩個檔案控制了資料夾在資源管理器中的顯示視力)。

2、在%Windows%\web和%Windows%System32中生成kjwall.gif。

3、在Windows 9X系統中，生成%Windows%\System\Kernel.dll檔案；在Windows 2000/XP中生成%Windows%\System\Kernel32.dll 檔案。

4、感染htt檔案，將病毒附加在其中；感染html/htm、jsp、vbs、php、asp，用病毒替換其內容。

修改註冊表

1、在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\下增加 Kernel32 鍵值，使病毒隨系統啟動；

2、修改HKEY_CLASSES_ROOT\dllFile\，改變dll檔案的打開方式；

3、修改HKEY_CURRENT_USER\Identities\"&UserID&"\Software\Microsoft\Outlook Express\" & OEVersion&"\Mail\Compose Use Stationery"為1，即採用信紙；修改 HKEY_CURRENT_USER\Identities\"&UserId&"\Software\Microsoft\Outlook Express\"&OEVersion&"\Mail\Stationery Name"指向信紙檔案；

4、修改HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail相關內容，使Outlook2000採用信紙來撰寫郵件；

5、修改HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail相關內容，使OutlookXP採用信紙撰寫郵件；

感染標誌

1、在註冊表HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\下存在Kernel32鍵值，並指向Kernel.dll或者Kernel32.dll檔案；

2、系統中大量存在desktop.ini和folder.htt；

3、在system目錄下存在kjwall.gif檔案；

清除方法

採用手工清除（難度較大，建議採用防毒軟體防毒）：

1、打開註冊表，刪除 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\Kernel32鍵值；參照其他機器，恢復HKEY_CLASSES_ROOT\dllFile\下鍵值；參照其他機器，恢復HKEY_CURRENT_USER\Identities\"&UserID&"\Software\Microsoft\Outlook Express\"&OEVersion&"\Mail\下相關鍵值；參照其他機器，恢復HKEY_CURRENT_USER\Software\Microsoft\Office\9.0\Outlook\Options\Mail\下相關鍵值；參照其他機器，恢復HKEY_CURRENT_USER\Software\Microsoft\Office\10.0\Outlook\Options\Mail\下相關鍵值；

2、刪除檔案（建議在DOS狀態下或者使用第三方檔案管理系統，如Win Commander等）參照其他機器，恢復%Windows%\web目錄下folder.htt 檔案；

刪除Kernel32.dll或者Kernel.dll檔案；刪除kjwall.gif；

查找所有存在KJ_start字元串的檔案，刪除檔案尾部的病毒代碼。

病毒代碼

病毒原始碼比較長，可參考新歡樂時光病毒源碼。

下面將幾個例子，每個例子有適用windows版本，其他版本沒試過，不保證適用：

1、日曆（WIN98SE下成功）：

在個人網頁中經常能看到精彩的日曆，其實在”我的電腦”或”資源管理器”中也可看到。一步一步照此做：

（1）在“我的電腦”中點擊“查看”選單，然後將其中的“按Web頁（W）”勾選上；

（2）再次點擊“我的電腦”中的”查看”選單，然後點擊“資料夾選項”，在彈出的對話框中選擇“查看”標籤，在“高級設定”中選“顯示所有檔案”；

（3）記事本打開C:\WINDOWS\WEB\Folder.htt，找到HERE'S A GOOD PLACE TO ADD A FEW LINKS OF YOUR OWN。

（4）加入如下代碼：

<script LANGUAGE="JavaScript">

<!--

setCal()

function getTime() {

var now = new Date()

var hour = now.getHours()

var minute = now.getMinutes()

now = null

var ampm = ""

if (hour >= 12) {

hour -= 12

ampm = "下午"

} else

ampm = "上午"

hour = (hour == 0) ? 12 : hour

if (minute < 10)

minute = "0" + minute

return hour + ":" + minute + " " + ampm

}

function leapYear(year) {

if (year % 4 == 0)

return true

return false

}

function getDays(month, year) {

var ar = new Array(12)

ar[0] = 31

ar[1] = (leapYear(year)) ? 29 : 28

ar[2] = 31

ar[3] = 30

ar[4] = 31

ar[5] = 30

ar[6] = 31

ar[7] = 31

ar[8] = 30

ar[9] = 31

ar[10] = 30

ar[11] = 31

return ar[month]

}

function getMonthName(month) {

var ar = new Array(12)

ar[0] = "1月"

ar[1] = "2月"

ar[2] = "3月"

ar[3] = "4月"

ar[4] = "5月"

ar[5] = "6月"

ar[6] = "7月"

ar[7] = "8月"

ar[8] = "9月"

ar[9] = "10月"

ar[10] = "11月"

ar[11] = "12月"

return ar[month]

}

function setCal() {

var now = new Date()

var year = now.getYear()

if (year<2000)

year=1900+year;

var month = now.getMonth()

var monthName = getMonthName(month)

var date = now.getDate()

now = null

var firstDayInstance = new Date(year, month, 1)

var firstDay = firstDayInstance.getDay()

firstDayInstance = null

var days = getDays(month, year)

drawCal(firstDay + 1, days, date, monthName, year)

}

function drawCal(firstDay, lastDate, date, monthName, year) {

var headerHeight = 50

var border = 2

var cellspacing = 4

var headerColor = "midnightblue"

var headerSize = "-1"

var colWidth = 50

var dayCellHeight = 10

var dayColor = "darkblue"

var cellHeight = 20

var todayColor = "red"

var timeColor = "purple"

var text = ""

text += '<CENTER>'

text += '<TABLE BORDER=1' + ' CELLSPACING=0' + 'style="font-size: 9pt">'

text += '<TH COLSPAN=7 HEIGHT=' + headerHeight + '>'

text += ''

text += year+'年'+ monthName + '日曆'

text += ''

text += '</TH>'

var openCol = '<TD WIDTH=' + colWidth + ' HEIGHT=' + dayCellHeight + '>'

openCol += '<FONT COLOR="' + dayColor + '">'

var closeCol = '</FONT></TD>'

var weekDay = new Array(7)

weekDay[0] = "星期天"

weekDay[1] = "星期一"

weekDay[2] = "星期二"

weekDay[3] = "星期三"

weekDay[4] = "星期四"

weekDay[5] = "星期五"

weekDay[6] = "星期六"

text += '<TR ALIGN="center" VALIGN="center" style="font-size: 9pt">'

for (var dayNum = 0; dayNum < 7; ++dayNum) {

text += openCol + weekDay[dayNum] + closeCol

}

text += '</TR>'

var digit = 1

var curCell = 1

for (var row = 1; row <= Math.ceil((lastDate + firstDay - 1) / 7); ++row) {

text += '<TR ALIGN="right" VALIGN="top" style="font-size: 9pt">'

for (var col = 1; col <= 7; ++col) {

if (digit > lastDate)

break

if (curCell < firstDay) {

text += '<TD></TD>';

curCell++

} else {

if (digit == date) {

text += '<TD HEIGHT=1>'

text += '<FONT COLOR="' + todayColor + '">'

text += digit

text += '</FONT><BR>'

text += '<FONT COLOR="' + timeColor + '" SIZE=2 style="font-size: 9pt">'

text += '<CENTER>' + getTime() + '</CENTER>'

text += '</FONT>'

text += '</TD>'

} else

text += '<TD HEIGHT=' + cellHeight + '>' + digit + '</TD>'

digit++

}

}

text += '</TR>'

}

text += '</TABLE>'

text += '</CENTER>'

document.write(text)

}

//-->

</script>

（4）好了，大功告成！這一切都是你自己動手做的喔，盡情的陶醉吧！（9）把剛才改過的Folder.htt拷貝一份到C糟根目錄下，這就可以一勞永逸了，打開“資源管理器”看看，哈哈，也有你的勞動成果！趕快試試吧！

2、自己的照片（winme成功）

在你的Folder.htt找到URL（wvleft.gif），wvleft.gif（就是上面那張圖）更換成你所要的路徑和檔案名稱即可，比如美女的照片，例如：d:\PubWeb\Photo\01.bmp改為file://d:/ PubWeb/Photo/01.bmp即可。還有就是src="wvline.gif"，同理修改wvline.gif（下面那根線）。天天看她，呵呵，口水流了一鍵盤。

其他你在網頁上看到的效果都可以在Folder.htt上實現，只要你耐心修改代碼。