Win32.TrojDownloader.Banload.126976 手动专杀及 病毒资料

这是一个典型的木马下载器。它会下载木马，并将它们设置为开机自启动。为防止部分下载地址失效，它所下载的木马被分别放置在多个地址中，下载时分别访问这些地址，以确保木马成功下载。

1.获取系统目录以下载文件到该目录下，下载文件前先查找该目录下是否已存在要下载的文件。

2.访问地址http://voxcards.ig.com.br/cartao.asp?c=8410（已失效，可能是作感染量统计）。

3.到指定地址下载文件，下载地址共12个，每3个一组下载同一个文件；
地址列表如下：
1. http://br.ge****ies.com/logsklb01/imgtd.swf
2. http://br.ge*****es.com/logsklb02/imgtd.swf
3. http://r*****.no-ip.info:81/klb/imgtd.swf
4. http://br.ge*****es.com/logsklb04/mirante.swf
5. http://br.ge*****es.com/logsklb02mirante.swf
6. http://r*****.no-ip.info:81/klb/mirante.swf
7. http://br.ge*****es.com/logsklb03/imgbb.swf
8. http://br.ge*****es.com/logsklb04/imgbb.swf
9. http://r*****.no-ip.info:81/klb/imgbb.swf
10. http://br.ge*****es.com/logsklb02/imgbd.swf
11. http://br.ge*****es.com/logsklb04/imgbd.swf
12. http://r*****.no-ip.info:81/klb/imgbd.swf
下载的文件分别保存为
C:\WINDOWS\System32\imgtd.scr
C:\WINDOWS\System32\mirante.scr
C:\WINDOWS\System32\imgbb.scr
C:\WINDOWS\System32\imgbd.scr

4.在注册表中写入如下项
HKEY_CURRENT_USER\imgtd
HKEY_CURRENT_USER\imgtbd

在注册表如下位置添加值，创建自启动项：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run,
"imgtd"= x:\WINDOWS\System32\imgtd.scr
"imgbb"= x:\WINDOWS\System32\imgbb.scr
"imgbd"= x:\WINDOWS|System32\imgbd.scr