病毒大百科

该病毒是一个通过MSN传播蠕虫病毒,它会向MSN联系人发送消息和伪装成照片的带有病毒自身的压缩包，
当对方联系人接收并打开压缩包中的病毒文件时系统被感染。

1.生成文件
%System%\firewallav.dll
%System%\printers.exe

2.创建ShellServiceObjectDelayLoad启动方式：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"antivirus"="{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}"
[HKEY_CLASSES_ROOT\CLSID\{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}\InProcServer32]
@ = "firewallav.dll"

注：{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}为一串CLSID，病毒产生的这段CLSID不固定，如：{69AC617E-F9E3-4870-84F5-6279EE7069A5}

3.病毒被运行后在系统目录%Windows%生成包含自身副本的ZIP压缩文件，文件名不固定，由以下字符加随机数字组成：
images0
photos0
album
photo
pictures0
picture
例如:
images030.zip (images030.scr)
photos025.zip (photos025.scr)

4.病毒根据染毒系统的语言给MSN联系人发送相应的文字消息，同时发送病毒ZIP压缩包.

5.在注册表中还创建有以下信息：
[HKEY_CURRENT_USER\Software\Microsoft\vrHMPAfT]
"qnhRjnRH"