功能描述:

每分鐘向 "C:\Program Files\Internet Explorer\dmlconf.dat" 中寫入 16 字節的數據，前8字節為系統時間，接著是 4 字節數據是兩次連通特定網站的時間差， 最后 4 字節數據始終為 0

獲取系統時間信息

(3-4-4):Thread4(ThreadFunction:2001790C)

功能描述:

每10分鐘向 "fget-career.com的443端口" 發送當前系統時間信息以及含有本機信息的字符串，并接收 "fget-career.com" 發回的數據。

解析 "fget-career.com" 的網址

和 "fget-career.com" 的 443 端口建立連接

本機和遠程服務器的數據交互過程

(3-4-5):Thread5(ThreadFunction:20016EA8)

功能描述：

對 DRIVE_FIXED 類型的磁盤上的 .exe、.dll、 .html、 .htm：四種文件進行感染。

獲取系統目錄和Windows目錄,以便在全盤遍歷文件的時候避開這兩個目錄的文件

獲取所有的磁盤盤符，以便全盤遍歷

檢查磁盤類型是不是DRIVE_FIXED，如果是則深度優先遍歷磁盤文件

深度優先遍歷磁盤文件

//感染前先通過文件名排除三種文件(".."、"." 和 "RMNetwork")

//查看文件中是否有按名稱導入"LoadLibraryA"和 "GetProcAddress" ,有的話獲取對應的 IAT RVA

//查看節表之后是否還有一個空節表的空間可用,如果有就添加一個新節,并修改原來的程序入口點

//向文件中寫入一個PE文件，該PE文件在被感染文件運行時會被釋放出來

.exe和.dll文件的感染流程

被感染后的.exe和.dll 文件的行為

  在分析被感染后的文件執行流程時得知在 新添加節的節內偏移的 0X328H處存放著程序現在入口點和原入口點的差值(DWORD 類型)，該值即是修復入口點的依據。

.html 和 .htm 文件的感染過程

.html和.htm文件的感染流程

(3-4-6):Thread6(ThreadFunction:20016EC2)

功能描述：

每10秒鐘遍歷一次所有磁盤，當磁盤類型為可移動磁盤時，對該磁盤進行感染,已達到借助可移動磁盤對該樣本進行傳播的目的。

檢查磁盤上是否有 "autorun.inf" 文件

如果已經有“autorun.inf”文件，則通過對該文件的判斷來驗證該可移動磁盤是否被感染過

該可移動磁盤沒有被感染過時，執行以下操作

在可移動磁盤根目錄創建“RECYCLER”文件夾并設置屬性為HIDDEN

子文件下創建.exe 文件，并將DeskToplayer.exe文件的內容寫入

在根目錄創建"autorun.inf"文件并寫入數據

對可移動磁盤的感染過程

三.清理方式

1. 使用字符串"KyUffThOkYwRRtgPP" 創建互斥體，如果互斥體已經存在，說明已經有樣本在運行，此時需要遍歷系統所有進程，查找名稱為"Desktoplayer "和"iexplore "的進程:

對于"Desktoplayer "進程:直接結束；

對于"iexplore "進程:如果進程空間的 20010000 地址為有效地址，則直接結束進程，同時刪除iexplore目錄下的  dmlconf.dat文件。

2. 依次在 1:"C:\Program Files\ ";

   2:"C:\Program Files\Common Files\ ";

       3:"C:\Documents and Settings\Administrator\ ";

       4:"C:\Documents and Settings\Administrator\Application Data\ ";

       5:"C:\WINDOWS\system32\ ";

       6:"C:\WINDOWS\ ";

       7:"C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\";

目錄下查找"Microsoft"目錄，如果找到該目錄，則刪除該目錄及目錄下的"Desktoplayer.exe"文件。

3. 讀取HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\

CurrentVersion\Winlogon的Userinit 的鍵值，并判斷鍵值內容的最后一個啟動項中是否包含"desktoplayer.exe"，如果包含，則刪除最后一個啟動項。

4. 遍歷全盤文件，進行查殺：

對于 DISK_FIXED類型的磁盤，在遍歷時可以避開系統目錄和Windows目錄,對于EXE文件,如果文件MD5和特征文件的MD5匹配，則直接刪除；

對于EXE、DLL，如果節表中含有".rmnet"節，則可判定文件已經被感染，可由用戶決定是刪除文件還是修復文件(修復辦法:刪除".rmnet"節并修復入口點)；對HTML、HTM文件，可以通過文件最后9 字節內容是否是"</script>"來判斷文件是否被感染，文如果文件已被感染，則由用戶決定是刪除文件還是修復文件(修復辦法:刪除文件"<script Language=vbscript>"之后的內容)。

對于 DISK_REMOVABLE類型的磁盤，如果磁盤根目錄有 "autorun.inf"文件且文件頭3字節內容為"RmN"，則可判定該磁盤已經被感染，需要從該文件總提取住exe文件的路徑，然后先刪除"autorun.inf"文件，再刪除

exe 文件。