病毒行为:
这是一个木马下载器。会从指定的远程地址下载其它木马程序。
在磁盘中释放出以下文件:
C:\WINDOWS\TEMP\
C:\WINDOWS\TEMP\nsv8199.tmp
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS
C:\WINDOWS\TEMP
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS\TEMP\nsw8099.tmp\System.dll
C:\WINDOWS\TEMP\dosss11.dll
C:\WINDOWS\TEMP\acpidisk.sys
在磁盘中删除了以下文件:
C:\WINDOWS\TEMP\nsv8199.tmp
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS\TEMP\nsw8099.tmp\SYSTEM.DLL
会从以下注册表中读取信息:
"HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion"
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion"
病毒会连接作者指定的网址:
病毒会从http://d*4.t***kl.info/not.exe下载文件至本地计算机c:\not.exe
域名:"d*4.t***kl.info"端口:80(TCP)
d*4.t***kl.info/not.exe
