捕獲時間
2009-5-26
病毒癥狀
該樣本是使用“Delphi”編寫的修改主頁的木馬，"WinUpack"加殼，由微點主動防御軟件自動捕獲，長度為“17,236 字節”，圖標為“
”，病毒擴展名為“exe”，主要通過“文件捆綁”、“下載器下載”、“網頁掛馬”等方式傳播，病毒主要目的強行篡改IE瀏覽器默認首頁，增加網站流量�！ �
用戶中毒后，IE瀏覽器設置主頁的窗口的所有按鈕變成灰色不可用狀態。用戶一打開IE首頁就會連接指定站點，并且部分安全軟件無法使用，嚴重干擾用戶正常使用計算機。
感染對象
Windows 2000/Windows XP/Windows 2003
傳播途徑
網頁木馬、文件捆綁、下載器下載
防范措施
已安裝使用微點主動防御軟件的用戶，無須任何設置，微點主動防御將自動保護您的系統免受該病毒的入侵和破壞。無論您是否已經升級到最新版本，微點主動防御都能夠有效清除該病毒。如果您沒有將微點主動防御軟件升級到最新版，微點主動防御軟件在發現該病毒后將報警提示您發現“未知木馬”，請直接選擇刪除處理（如圖1）；
圖1 微點主動防御軟件自動捕獲未知病毒（未升級）
如果您已經將微點主動防御軟件升級到最新版本，微點將報警提示您發現" Trojan.Win32.StartPage.brw”，請直接選擇刪除（如圖2）。
圖2 微點主動防御軟件升級后截獲已知病毒
對于未使用微點主動防御軟件的用戶，微點反病毒專家建議：
1、手動修復如下文件
%Documents and Settings%\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\啟動 Internet Explorer 瀏覽器.url
%Documents and Settings%\Administrator\桌面\Internet Explorer.url
2、刪除%SystemRoot%\win.Ini最后三行病毒配置信息
3、手動刪除以下文件：
%Documents and Settings%\Administrator\Favorites\2298網址導航,安全,綠色,快速.url
4、手動刪除以下注冊表：
鍵：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIcon
鍵：HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\
值：{871C5380-42A0-1069-A2EA-08002B30309D}
數據：1
鍵：HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\
值：Homepage
數據：1
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run\
值：bvojog
5、手動修改以下注冊表：
鍵：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\
值:startpage
數據: about:blank
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\startpage
值:startpage
數據: about:blank
變量聲明：
%SystemDriver% 系統所在分區，通常為“C:\”
%SystemRoot% WINDODWS所在目錄，通常為“C:\Windows”
%Documents and Settings% 用戶文檔目錄，通常為“C:\Documents and Settings”
%Temp% 臨時文件夾，通常為“C:\Documents and Settings\當前用戶名稱\Local Settings\Temp”
%ProgramFiles% 系統程序默認安裝目錄，通常為：“C:\ProgramFiles”
病毒分析
（1）首先遍歷進程,發現avp.Exe,則退出，發現runiep.Exe，360tray.Exe，stray.Exe，qqdoctor.Exe，進程則調用ntsd命令結束進程；
（2）刪除快速啟動項中的IE快截方式，添加帶有指定網站鏈接的IE快捷方式到快速啟動欄和桌面；
（3）修改注冊表，創建文件%temp%\tmpied.Dat，在tmpied.Dat里記錄病毒配置信息，最后刪除；
（4）查找瀏覽器窗口，找到則發消息關閉；
（5）隱藏啟動瀏覽器，發送統計信息到指定網站；
（6）修改系統文件win.ini，記錄病毒版本等信息；
（7）修改注冊表使IE主頁為指定網站；
病毒創建文件：
%temp%\tmpied.Dat
%Documents and Settings%\Administrator\Favorites\2298網址導航,安全,綠色,快速.url
病毒修改文件：
%SystemRoot%\win.ini
%Documents and Settings%\Administrator\Application Data\Microsoft\Internet Explorer\Quick Launch\啟動 Internet Explorer 瀏覽器.url
%Documents and Settings%\Administrator\桌面\Internet Explorer.url
病毒刪除文件：
%temp%\tmpied.Dat
病毒創建注冊表：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoInternetIcon
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\ClassicStartMenu\ {871C5380-42A0-1069-A2EA-08002B30309D}
HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\homepage
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run\bvojog
病毒修改注冊表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main\startpage
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\startpage
病毒訪問網絡：
http://www.2***.cn
http://www.Ie***.cn/ok/install.asp
