Win32.HLLW.Bush

病毒特征： 6wrSq6#~S  
eCFSy$i/Z  
A.该病毒一般由MSN信息传播。 !M9=~mDN~  
B.该病毒通过连接特定的地址下载恶意代码程序。 [3~kYEcj  
C.该病毒会停止windows进程。 ^;Llsk64  
Z7&$)-:  
发作症状： sRd*kvNW  
*`7}p_We  
1.当该病毒被执行后，它会复制其本身到以下位置： Xb
U2x#(t  
- %systemroot%\Cfreer.exe ujWD<?  
- %systemroot%\Nzil.exe Qev
bV  
- %system%\Negdo.exe s&P0@n{z4+  
- %system%\juegs.exe Bi);r  
<}_qQUnnt  
2.当该病毒被执行后，它会尝试连接到以下网络地址并下载 C;4pE>ce  
TO#`#r:~a  
其他的恶意代码到如下文件夹中，病毒文件名为： cm$QDav  
- Address: 209.51<…>.242 FVYDu18'v  
- port: 80 d<6[VBr  
- %systemroot%\SysArc.exe – detected as j[dh?/&tj  
MT@V/o{9l  
Trojan.DownLoader.22663 GOJ&?i+<  
YNe31>  
* Windows folder (%SystemRoot%) =ySF/+az2  
-Windows 9X/ME/XP: C:\Windows r#-,SG}$w  
-Windows NT/2000: C:\Winnt OYcIa8OxO{  
O+D4uv/?y  
3.当该病毒首次被执行后，将会出现以下错误信息： -)_oR;>  
-error msg s-b(?o0.  
P:(bsh,l  
4. 该病毒会尝试连接以下网络地址： bUuSx'Js  
- Address: tmb<…>os.com |THj.H=O  
v#hsG/  
5.该病毒通过远程指令打开一个监听端口。 cRJMUG  
| X9HvsM  
6.该病毒为在网络中传播，它会通过即时信息传播其源代码（尤其对于MSN信息）。 'lKs%[&  
!QWv1Fn2M  
7.该病毒通过停止以下进程来隐藏其本身。 0>VNZ :,P  
- registry editor 2Og*|d6-  
- task manager `"W.'xn&C  
^lL@MRaZ  
8.该病毒通过写入以下注册表，使得本身在windows启动时候自动运行。 NFdI6eD)  
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] A:Mvip  
'indowsUpdate' = '%systemroot%\Cfreer.exe' sX!X U>eb  
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] o6"#0vK$R  
'Windows' = '%systemroot%\Nzil.exe' %kV>Y|8H  
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] c;+c"  
'SystemUpdate' = '%system%\Negdo.exe' }z1?,=f3  
[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] r6Km'v  
'System' = '%system%\Juegs.exe' _#S3W]RRu  
b"Nkl^  
受感染的系统包括： uR%vf8P  
-Windows 9X/ME: C:\Windows\SYSTEM GiM,|-](^d  
-Windows NT/2000 : C:\Winnt\System32 RW^\kn  
-Windows XP : C:\Windows\System32 $N%/J(faec  
]Pue} T}  
7#H)UaXE  
_3.nx7