病毒名称(中文):
挂马宣传精灵
病毒别名:
威胁级别:
★☆☆☆☆
病毒类型:
木马程序
病毒长度:
1030656
影响系统:
Win9xWinMeWinNTWin2000WinXPWin2003
病毒行为:
该病毒为Windows平台下载木马和发送QQ消息的病毒，病毒运行后通过网络下载相关的木马；检视QQ聊天软件进行自动发送QQ消息；强行修改用户IE主页面。
该病毒主要通过欺骗安装和捆绑软件方式进行感染。
1、病毒运行后将自身分别复制到Windows和System目录:
%Windir%\NIW.exe
%SysRoot%\impai.exe
2、病毒根据木马作者的配置，从指定的网站下载木马/病毒到系统目录下,保存为以下文件名：
%sysRoot%\tmdown.exe
%sysRoot%\tmdown1.exe
3、病毒同时将自身添加为自启动项:
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"NIW"="C:\\WINNT\\NIW.exe"
[HKEY_CLASSES_ROOT\txtfile\shell\open\command]
@="C:\\WINNT\\System32\\impai.exe\"%1\""
4、病毒通过修改以下注册表位置同时修改IE主页为病毒作者指定的网站:
[HKEY_CURRENT_USER\Software\Microsoft\InternetExplorer\Main]
startpage="网站名"
[HKEY_CURRENT_USER\Software\Policies\Microsoft\InternetExplorer\ControlPanel]
homepage="value"
5、通过创建互斥对象欺骗杀毒软件，病毒创建的互斥对象列表:
ASSISTSHELLMUTEX
KingsoftAntivirusScanProgram7Mutex
SKYNET_PERSONAL_FIREWALL
AntiTrojan3721
6、病毒会终止以下窗体名/窗体类名的相关程序:
QQKav
网镖
木马
QQAV
TKillqqvir
7、查找以下注册表键值，发现后删除相关注册表项，用于删除反病毒软件的开机自启动:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
相要害或键值:
KAVPersonal50
KvMonXP
YLive.exe
yassistse
8、病毒同时检测系统中是否有以下进程，发现则终止其进程:
SVCHOXT.EXE
NTdhcp.exe
9、病毒实时在后台检测QQ聊天软件窗体句柄,通过查找以下窗体名获取窗体句柄:
#32770
AfxWnd42
RICHEDIT
发送(&S)
RichEdit20A
