枫之武

MSN相片“性感相册”病毒手动清除方法
病毒名称：Backdoor.Win32.IRCBot.aaq（Kaspersky）
病毒别名：Worm.Mail.Photocheat.a（瑞星）
　　　　　 Worm.MsnBot.h（毒霸）

病毒分析：

这是一个通过MSN进行传播的蠕虫病毒，病毒行为如下：

1、病毒运行后创建自己的压缩包命名为PHOTOS.ZIP释放到%WINDIR%目录下，放出一名为syshosts.dll的动态库到%SYSTEM%目录下，将动态库蛀入系统多个线程中实现其传播的功能。

2、病毒会自动创建如下注册表项，实现自启动。

复制内容到剪贴板

代码:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"syshosts"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"

[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="syshosts.dll"

注：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}为一串CLSID，病毒产生的这段CLSID不固定，如：{1E3EF678-AFB7-4420-9CCF-3725505ACA10}

3、病毒会将生成的PHOTOS.ZIP通过MSN模拟键盘和鼠标操作发送给其他联系人发送消息：

Here are my private pictures for you
Here are my pictures from my vacation
My friend took nice photos of me.you Should see em loL!
its only my photos!
Nice new photos of me and my friends and stuff and when i was young lol...
Nice new photos of me!! :p
Check out my sexy boobs :D
hey regarde mes tof!! :p
ma soeur a voulu que tu regarde ca!
hey regarde les tof, c'est moi et mes copains entrain de.... :D
j'ai fais pour toi ce photo album tu dois le voire
tu dois voire ces tof
mes photos chaudes :D
c'est seulement mes tof :p
zijn enige mijn foto's
wanna Hey ziet mijn nieuw fotoalbum?
Hey be
indigde enkel nieuw fotoalbum!
hey keurt mijn nieuw fotoalbum goed.. :p
het voor yah, doend beeldverhaal van mijn leven lol..
meine hei
en Fotos ! :p
le mie foto calde :p
mis fotos calientes
mi fotograf
as :p
Mi amigo tom
las fotos agradables de m
mis fotos calientes
el lol mi hermana quisiera que le enviara este
album de foto




病毒还会尝试连接远程IRC：www.free8.biz

手工清除方法

一、删除病毒的启动方式
运行regedit 启动注册表编辑器，删除以下项值
以下为代码内容：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"syshosts"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"



以及相对应的：
以下为代码内容：
[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@="syshosts.dll"




二、重新启动计算机，删除病毒文件

1、打开“我的电脑”，选择菜单“工具”-》“文件夹选项”，点击“查看”，取消“隐藏受保护的操作系统文件”前的对勾，并在“隐藏文件和文件夹”项中选择“显示所有文件和文件夹”，然后点击“确定”。同时取消掉“隐藏已知类型文件的扩展名”前的对勾，然后点击“确定”。

2、进入Windows文件夹（默认为C:\Windows），找到名为“photos.zip”的文件，将其删除；进入系统文件夹（默认为C:\Windows\system32），找到名为“syshosts.dll”的文件，将其删除。

rooloo

原来病毒也有用这名字的，以后各位兄弟就千万不要给它的名字所迷惑了。