MD5:0BD9295821BE565BFAFB675B33B5299E

　　壳：FSG v2.0

　　开发：c/c++

　　检测：FILEMON,REGMON,IDA

　　操作系统：XPSP3,WINXPSP2,Win2kServer都跑了一下，可能运行环境不全，只是做为参考

　　劫持并结束安全软件

　　kavstart.exe

　　kissvc.exe

　　kmailmon.exe

　　kpfw32.exe

　　kpfwsvc.exe

　　kwatch.exe

　　ccenter.exe

　　ras.exe

　　rstray.exe

　　rsagent.exe

　　ravtask.exe

　　ravstub.exe

　　ravmon.exe

　　ravmond.exe

　　avp.exe

　　360safebox.exe

　　360Safe.exe

　　Thunder5.exe

　　结束瑞星防火墙

　　弹窗

　　下载文件

　　命令行：?:windowssystem32rundll32.exe jiocs.dll+？

　　【文件】

　　删除koauolte.exe自身

　　生成名字为%s%d_res.tmp 的文件

　　打开%TEMP%6493750_res.tmp（%s%d_res.tmp）

　　创建%TEMP%svDE.tmp

　　.tmp文件进行的操作和koauolte.exe基本相同

　　驱动：?:windowssystem32driverslklosd.sys

　　对C:Documents and SettingsAll UsersApplication DataKaspersky

　　LabAVP8Baseskavbase.kdl进行操作

　　【创建启动项】

　　004017B9　　　　　　　　push　　offset a360ary　; "360ary"

　　004017BE　　　　　　　　push　　offset SubKey　;

　　"SOFTWAREMicrosoftWindowsCurrentVersion un"

　　【注册表】

　　QueryValue

　　HKLMSoftwarePoliciesMicrosoftWindowsSaferCodeIdentifiersTransparentEnabled

　　 0x1

　　QueryValue HKLMSystemCurrentControlSetControlTerminal ServerTSAppCompat