Win32.Troj.RootKitT.ly.171908

这是一个木马下载器。会从指定的远程地址下载其它木马程序。

在磁盘中释放出以下文件:
C:\WINDOWS\TEMP\
C:\WINDOWS\TEMP\nsv8199.tmp
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS
C:\WINDOWS\TEMP
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS\TEMP\nsw8099.tmp\System.dll
C:\WINDOWS\TEMP\dosss11.dll
C:\WINDOWS\TEMP\acpidisk.sys

在磁盘中删除了以下文件:
C:\WINDOWS\TEMP\nsv8199.tmp
C:\WINDOWS\TEMP\nsw8099.tmp
C:\WINDOWS\TEMP\nsw8099.tmp\SYSTEM.DLL

会从以下注册表中读取信息:
"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion"
"HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion"

病毒会连接作者指定的网址:
病毒会从 http://d*4.t***kl.info/not.exe 下载文件至本地计算机 c:\not.exe
域名:"d*4.t***kl.info" 端口:80 (TCP)
d*4.t***kl.info/not.exe

在系统中创建了以下进程:
病毒会创建了一个互斥体 41120980 ，防止重复运行

病毒会通过以下途径传播:
病毒会利用网络进行传播