該病毒屬木馬下載類，並具有竊取網遊密碼功能，病毒運行後會自動打開地址：http://yinyu***.com，並在頁面上顯示“請稍等·..正在為您連線最近的伺服器”，而後在用戶不知情的情況下下載幾個病毒相關檔案到本地運行，修改註冊表檔案，添加到啟動項，確保病毒副本能夠隨系統啟動。病毒會嘗試竊取網路遊戲“魔獸世界”的帳號。修改系統的IE設定。該病毒對用戶有一定的危害。
基本介紹
- 外文名：Trojan-Downloader.Win32.Small.bxa
- 病毒類型： 木馬
- 危害等級： 中
- 公開範圍： 完全公開
- 檔案長度： 3,584 位元組
基本信息,行為分析,清除方案,
基本信息
病毒名稱： Trojan-Downloader.Win32.Small.bxa
檔案 MD5： 313AECEF42C5207AC58615366B3F5EB7
感染系統： windows 98 及以上版本
開發工具： Microsoft Visual C++
命名對照： Symentec[無]
Mcafee[無]
行為分析
1、釋放病毒相關檔案：
%Program Files%\Internet Explorer\syssmss.exe Backdoor.Win32.Delf.adj
%Program Files%\Internet Explorer\Test.exe Backdoor.Win32.Delf.adj
2、修改註冊表檔案，達到隨系統啟動的目的：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinsSystem
鍵值: 字串: "C:\Program Files\Internet Explorer\syssmss.exe"
3、病毒主要竊取網路遊戲“魔獸世界”的帳號，病毒以以下伺服器為目標： 國服魔獸、台服魔獸、美服/歐服、魔獸世界
4、下載其他的病毒體到本地運行：
http://new.91***.com/ns/1.exe Trojan.Win32.StartPage.aem
http://new.91***.com/ns/2.exe Backdoor.PowerSpider。aq
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
清除方案
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(2) 刪除病毒檔案
%Program Files%\Internet Explorer\syssmss.exe
%Program Files%\Internet Explorer\Test.exe
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
\Run\WinsSystem
鍵值: 字串: "C:\Program Files\Internet Explorer\syssmss.exe"
