Win32.Troj.EncodeXor.a.147456查杀

sizhu.exe是一个下载器程序。它采取双进程同时运行的方法来实现自我保护，并会破坏大量安全软件的正常运行。之后就在后台下载大量的其它木马程序。

运行后释放病毒文件:
%systemroot%\system32\SiZhu.exe
每个磁盘下生成以下文件:
AutoRun.inf
SiZhu.exe

病毒所有重要数据都经过加密处理(包括字符串、API函数等).

所有 API 函数都是通过运行时调用 GetProcAddress 获取,并在之后调用.

后台下载http:/ /whh.9**6.org/1.txt保存为%temp%\SiZhu.txt,读取SiZhu.txt里其它木马的下载地址,下载并执行.

结束以下安全软件进程并创建相同的映像劫持项:
360rpt.exe、360Safe.exe、360tray.exe、adam.exe、AgentSvr.exe、
AppSvc32.exe、autoruns.exe、avgrssvc.exe、AvMonitor.exe、avp.com、
avp.exe、CCenter.exe、ccSvcHst.exe、FileDsty.exe、FTCleanerShell.exe、
HijackThis.exe、IceSword.exe、iparmo.exe、Iparmor.exe、isPwdSvc.exe、
kabaload.exe、KsScrScn.SCR、KASMain.exe、KASTask.exe、KAV32.exe、KAVXD.exe、
KAVPFW.exe、KAVSetup.exe、KAVStart.exe、KISLnchr.exe、KMailMon.exe、KMFilter.exe、
KPFW32.exe、KPFW32X.exe、KPFWSvc.exe、KRegEx.exe、KRepair.COM、KsLoadre.kxp、
KvDetect.exe、KvfwMcl.exe、KVMonXp.kxp、KVMnoXP_1.kxp、kvol.exe、kvolself.exe、
KvReport.kxp、KVScan.exe、KVStub.kxp、kvupload.exe、kvwcs.exe、KvXp.kxp、KvXP_1.kxp、
KWatch.exe、KWatch9x.exe、KWatchX.exe、loaddll.exe、MagicSet.exe、mcconsol.exe、mmqczj.exe、
mmsk.exe、NAVSetup.exe、nod32krn.exe、nod32kui.exe、PFW.exe、PFWLiveUpdate.exe、QHSTE.exe、
Ras.exe、Rav.exe、RavMon.exe、RavMonD.exe、RavStub.exe、RavTask.exe、RegClean.exe、rfwcfg.exe、
RfwMain.exe、rfwProxy.exe、rfwsrv.exe、RsAgent.exe、Rsaupd.exe、runiep.exe、safelive.exe、
scan32.exe、shcfg32.exe、SmartUp.exe、SREng.exe、smylcsvc.exe、SysSafe.exe、TrojanDetector.exe、
Trojanwall.exe、TrojDie.kxp、UIHost.exe、UmxAgent.exe、UmxAttachment.exe、UmxCfg.exe、UmxFwHlp.exe、
UmxPol.exe、UpLive.exe、WoptiClean.exe、zxsweep.exe、Syscheck2.exe、findt2005.exe、SREngPS.exe、
smartassistant.exe、rfwolusr.exe、AutoGuarder.exe、ravmon.exe、ravt08.exe、killhidepid.exe、kvfw.exe、
syscheck.exe、IsHelp.exe、RavStore.exe、ToolsUp.exe、RavCopy.exe、360safebox.exe、safebank.exe、
safeboxTray.exe、360hotfix.exe、AntiArp.exe

创建注册表Run启动项:
KEY: HKEY_LOCAL_MACHINE\SoftWare\Microsoft\Windows\CurrentVersion\Run
Value: SiZhu
Data: "%systemroot%\system32\SiZhu.exe -SiZhu"