·威胁级别
·病毒类型
·病毒长度
·影响系统
·病毒行为
病毒名称中文：下载者28070
威胁级别★★☆☆☆
病毒类型木马下载器
病毒长度28070
影响系统win9xwinmewinntwin2000winxpwin2003
病毒行为这是一个下载者木马。他会从黑客网址下载大量的木马病毒，通过修改注册表、修改系统时间、映像劫持等方式破坏安全软件的正常运行。还会删除所有ghost备份文件，感染所有网页文件、插入黑客网站的代码，并关闭含有“杀毒“、“木马”等字样的窗口，阻止用户寻找解决方法。
1.木马释放如下文件：
%windows%\\system32\\systom.exe
%windows%\\system32\\autorun.inf
在每个盘符的根目录下创建两个文件：autorun.inf和nx.exe
2.添加如下注册表项，实现开机自启动
hklm\\software\\microsoft\\windows\\currentversion\\run\\crsss@=%systemboot%\\system32\\systom.exe
3.添加如下注册表项，禁用自动更新
hkey_current_user\\software\\microsoft\\windows\\currentversion\\policies\\windowsupdate\\disablewindowsupdateaccess@=0x00000001
4.添加如下注册表项，禁止显示隐藏文件
hkey_current_user\\software\\microsoft\\windows\\currentversion\\policies\\system\\disabletaskmgr@=0x00000001
hklm\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\showall\\checkedvalue@=0x0
hklm\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\nohidden\\tex
hklm\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\nohidden\\checkedvalue@=0x00000002
5.删除如下注册表项，破环系统的安全模式
hklm\\software\\microsoft\\windows\\currentversion\\explorer\\advanced\\folder\\hidden\\showall
hklm\\system\\controlset001\\control\\safeboot\\minimal\\
hklm\\system\\controlset001\\control\\safeboot\\network\\
hklm\\system\\currentcontrolset\\control\\safeboot\\minimal\\
hklm\\system\\currentcontrolset\\control\\safeboot\\network\\
6.添加注册表，映像劫持，致使安全软件无法使用
hklm\\software\\microsoft\\windowsnt\\currentversion\\imagefileexecutionoptions\\“*.*”\\debugger@=%systemboot%\\system32\\systom.exe
其中*.*为安全软件的文件名（例如avp.exe等）
7.该木马首先会连接如下网址：http://xx.5*****e.cn/tongji/tj.asp
8.病毒会读取远程文本文件下载病毒,通过http://xx.5*****e.cn/tool/down1.txt下载病毒
http://xx.5*****e.cn/gm/*.exe
9.病毒通过dll文件进行下载病毒
第二次下载：
连接http://n.l**0.com/xx.dll，将内容保存到%systemboot%\\system32\\dpserio1.dll
这实际上是一个文本文件，内容为：
http://2**.13.**.1**/mh.exe
http://6**o.com/u10.asp
http://6**o.com/qq/qq1.asp
http://6**o.com/1021.asp
http://6**o.com/js.asp
http://2**.13.**.1**/ok.exe