AUTO下载者（Win32.Troj.Agent.yf.141824）查杀

AUTO下载者 Win32.Troj.Agent.yf.141824

这是一个可以通过U盘传播的木马病毒。病毒运行后会在硬盘每个分区下生成U盘病毒，然后通过修改注册表以更改用户浏览器默认首页，病毒会加载一个用任务管理器无法查看的隐藏进程msn.exe，每隔一段时间检查硬盘分区的autorun.inf和msn.exe是否存在，不存在则还原，并在后台尝试连接远程服务器下载病毒文件安装至本地计算机。

1.在硬盘每个分区下生成文件
{盘符}\autorun.inf
{盘符}\msn.exe

2.生成注册表项
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\adtuosa\flag msnexe3 "yes"
HKEY_CURRENT_USER\Software\VB and VBA Program Settings\microsoft\msncom itime "{木马运行时间}"

3.修改注册表项
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main Start Page "about:blank" "http://www.baidu.com/index.php?tn=dsgj_cb"

4.病毒会修改浏览器首页为以下网址
http://www.baidu.com/index.php?tn=dsgj_cb

5.病毒文件使用文件夹图标，用户有可能会把它当成目录造成误点击

6.加载一个用任务管理器无法查看的隐藏进程msn.exe，每隔一段时间检查硬盘分区的autorun.inf和msn.exe是否存在，不存在则还原，所以清除前必须先用IceSword之类的工具结束掉此隐藏进程才行

7.尝试连接远程服务器下载病毒文件安装至本地计算机
http://n**ad.tu**a.com/**x/x****a.exe

8.尝试连接远程计数网站统计受害的数量

解决办法：
1.使用金山毒霸升级后全盘杀毒，因此病毒本身是下载器，应该可以发现较多木马。
2.使用金山清理专家将各磁盘生成的隐藏文件msn.exe彻底删除，再使用金山清理专家禁用所有磁盘的自动播放功能，用法参考
http://www.newjian.net/Anti-virus/anti_virus_865.html
3.如果还是怀疑系统有问题，可以使用金山清理专家联机诊断加载项和进程的安全性，提交不安全的项。可以拨打010－82331816联系金山客服协助你分析，或者把清理专家的日志发论坛请求网友帮助。