病毒大百科

这是一个木马下载器。该程序主要通过网页木马、文件捆绑方式传播，它会修改系统时间，使得杀毒软件卡巴斯基无法正常运行。

1.程序运行后，生成文件
C:\WINDOWS\WINSvr32.exE
C:\WINDOWS\system32\WINSvr32.dll

2.注册表添加启动项：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
WINSvr32 "C:\WINDOWS\WINSvr32.exE"

3.病毒会首先查找互斥事件“EFIOPYKLX”，然后遍历进程，搜索explorer.exe进程。

找到explorer.exe进程后，将病毒代码注入目标进程。在内存中病毒写入了下载地址“http://www.X**X.com/khhm.exe“

以及提前获取的函数地址和信息：注入完成后，病毒通过调用CreateRemoteThread启动注入的代码，在注入的远程代码中，

病毒装载urlmon.dll，然后获取和调用URLDownloadToFileA函数，下载“http://www.j***sh.com/khhm.exe”为本地，然后

调用CreateProcessA启动下载的文件。“http://www.j***sh.com/khhm.exe”这个地址现已无效，推断应该也是一个病毒文件。

4.遍历进程检测当前进程中是否存在AVP.exe，若存在则修改当前系统时间，使其不能正常运行。