文件名称：niu.exe

　　文件大小：30625 bytes

　　AV命名：Virus.Win32.AutoRun.of (Kaspersky)

　　加壳方式：FSG

　　编写语言：Delphi

　　病毒类型：U盘病毒下载者

　　文件MD5：e9612843c037fe7b62ded850bf4689c1

　　传播方式：U盘等移动介质网页漏洞。

　　行为分析：

　　1、释放病毒副本：

　　%Systemroot%system32crsss.exe 30625 字节（注意区别，不是系统文件！）

　　并查找可用的磁盘，在其目录生成：NIu.exe和Autorun.inf。

　　2、释放P处理，开启自动播放？

　　net start shellHWDetection

　　3、连接60.175.150.1**（安徽省滁州市 电信IDC机房）下载木马。

　　下了一大堆。。。:

　　http://*.1030829.com/down.txt

　　盗号木马品种有：热血江湖诛仙完美世界大话西游梦幻西游机战

　　还带有ARP病毒。。。

　　4、尝试修改IE主页，不过测试时并未实现，更新地址连接：

　　http://*.1030829.com/suoding.txt

　　看了下，是百度的。

　　5、释放P处理，尝试写入注册表IFEO键值，不过测试时并未实现。。。

　　如果成功的话，以下进程会被劫持：

　　REG.exe

　　360rpt.exe

　　360Safe.exe

　　360tray.exe

　　adam.exe

　　AgentSvr.exe

　　AppSvc32.exe

　　AST.exe

　　autoruns.exe

　　avgrssvc.exe

　　AvMonitor.exe

　　avp.exe

　　CCenter.exe

　　ccSvcHst.exe

　　FileDsty.exe

　　HijackThis.exe

　　FTCleanerShell.exe

　　IceSword.exe

　　iparmo.exe

　　Iparmor.exe

　　isPwdSvc.exe

　　kabaload.exe

　　KASMain.exe

　　KASTask.exe

　　KAV32.exe