Win32.Troj.Dropper.vk

该病毒是一个敲诈者木马。运行该病毒删除非系统盘和系统盘指定文件夹里的所有文件，打开一个htm脚本，并弹出警告框说电脑用户破坏了软件的许可协议，要求和病毒作者联系。每次重起电脑都会再弹出一个标题为严重警告的对话框，说将部分文件锁起来了，其实是病毒直接删除掉了，当然中毒用户也不要荒，给删掉的数据可以使用金山数据安全工具或其他数据恢复工具修复，但在未修复数据期间最好不向要修复磁盘写如任何文件，以免进一不破坏数据造成更大损失。制造并使用该类病毒敲诈电脑用户属于违法行为，建议中毒用户向公安机关报案并协助警方破案。若电脑中数据比较重要则请专业人员做修复工作。

1、生成的文件
%ProgramFiles%\InternetExplorer\file.htm
%ProgramFiles%\InternetExplorer\file.exe
%DOCUME~1%\ADMINI~1\LOCALS~1\Temp\E_4\krnln.fnr
%DOCUME~1%\ADMINI~1\LOCALS~1\Temp\E_4\shell.fne
%SystemRoot%\system32\1sass.exe
%DocumentsandSettings%\administrator\ApplicationData\MMC.exe
%DocumentsandSettings%\administrator\ApplicationData\Microsoft\win1ogon.exe
%DocumentsandSettings%\administrator\「开始」菜单\程序\启动\MMC.exe.lnk

2、添加启动项
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
"svchost.exe"="%DocumentsandSettings%\administrator\ApplicationData\\MMC.exe"
C:\DocumentsandSettings\administrator\「开始」菜单\程序\启动\MMC.exe.lnk

3、修改exe，txt文件关联
HKCR\exefile\shell\runas\command
"(Default)"="C:\WINNT\system32\1sass.exe"
HKCR\txtfile\shell\open\command
"(Default)"="%DocumentsandSettings%\administrator\ApplicationData\Microsoft\win1ogon.exe"

4、设置系统总是隐藏文件及隐藏扩展名
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
"Hidden"="0x2"
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden
"SHOWALL"="0xE21BD500"
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
"HideFileExt"="0x1"

5、添加注册表信息，开机进桌面是弹出对话框
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
"legalnoticecaption"="严重警告："
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
"legalnoticetext"="您使用了经过反汇编的软件，此行为严重对软件作者侵权！所以部份文件已隐藏在锁定的扇区，如需解锁释放文件，请联系yibasoftware@yahoo.com.cn获取相应的解锁软件，否则隐藏的文件将永远尘封起来！即使格式化也于事无补！"