AUTO广告木马1513749

此毒是一个广告木马。它拥有大量变种，运行后就弹出广告窗口，并且可利用AUTO技术进行自动传播。

1.释放E语言库文件com.run, eAPI.fne, krnln.fnr, shell.fne, spec.fne, RegEx.fnr, internet.fne, dp1.fne到%TEMP%\E_4目录下。
2.调用库函数里的算法来计算文件名中的[*0],及%sys32dir%下的3个随机名的文件夹[*1],[*2],[*3],并将文件母体[*0].exe复制到%sys32dir%\[*1]下.
3.将%TEMP%\E_4目录下的com.run, eAPI.fne, krnln.fnr, shell.fne, spec.fne, RegEx.fnr, internet.fne, dp1.fne复制到%sys32dir%\[*2]下，保证%TEMP%\E_4被删除的情况下样本还能启动。
4.释放3个文件*0.inf,*1.inf,*2.EDT到%sys32dir%\[*3]下。
5.调用库函数解密，得到网址
http://hi.baidu.com/sxxxxxu
http://www.axxxxxxxxl.cn/ul.htm
http://www.yxxxxxxk.com/ul.htm
6. 在注册表中run键值中创建键名为[*0]，指向%sys32dir%\[*1]\[*0].exe。
7. 在当前用户的启动项中创建一个隐藏的”　　　.lnk“,指向%sys32dir%\[*1]\[*0].exe
8.每30秒通过GetDriveTypeW来遍历所有驱动器判断是否有有驱动器是DRIVE_REMOVABLE，若是，将自身拷贝到到其根目录下命名为Recycled.exe创建对应的AutoRun.inf。