一、 病毒标签：
病毒名称： Backdoor.Win32.Jusi.cj
病毒类型： 后门
文件 MD5：c58a01ef69174df70f522617b597e9c7
公开范围： 完全公开
危害等级： C
文件长度：  206 KB (211,456 字节)
开发工具： DELPHI
加壳类型： 无壳
命名对照： 
VBA32  Backdoor.XiaoBird.31 (paranoid heuristics) (suspicious)
Dr.WEB  BackDoor.Klj

二、 病毒描述：
该病毒为后门程序。打开后台IE连接网络受控制。

三、 行为分析
增加服务作启动项目：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
jrhnfndhjgfjsahha "DisplayName"
  Type: REG_SZ
  Data: sfgg3wsfsdf
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
jrhnfndhjgfjsahha "ImagePath"
  Type: REG_EXPAND_SZ
  Data: C:\WINDOWS\system32\fdgkjhjyjnn.exe
关闭防火墙，修改文件显示设置等。

释放文件：
 c:\WINDOWS\system32\7ikfjndhsuydj.dll
  Date: 8-4-2004 12:52 AM
  Size: 110,080 bytes
 c:\WINDOWS\system32\fdgkjhjyjnn.exe
  Date: 8-4-2004 12:52 AM
  Size: 211,456 bytes
7ikfjndhsuydj.dll注入IE进程。
IE网络连接IP：
60.22.148.114．

解决方案：
删除文件(如遇提示无法删除文件，到down.45its.com下载费尔木马强制删除器工具进行强制删除)：
c:\WINDOWS\system32\fdgkjhjyjnn.exe
c:\WINDOWS\system32\7ikfjndhsuydj.dll

删除服务（详细步骤：打开SREng－启动项目－win32服务应用程序,可到down.45its.com下载）：
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\
jrhnfndhjgfjsahha

注解帮助：
%System32%是一个可变路径。病毒通过查询操作系统来决定当前System文件夹的位置。Windows2000/NT中默认的安装路径是C:\Winnt\System32，windows95/98/me中默认的安装路径是C:\Windows\System，windowsXP中默认的安装路径是C:\Windows\System32。
%Temp%   = C:\Documents and Settings\AAAAA\Local Settings\Temp 当前用户TEMP缓存变量
     %Windir%\       WINDODWS所在目录
%DriveLetter%\    逻辑驱动器根目录
%ProgramFiles%\    系统程序默认安装目录
%HomeDrive% = C:\ 当前启动的系统的所在分区
%Documents and Settings%\ 当前用户文档根目录

A级
大面积感染流行，并具有以下条件中的任意一个给网络造成严重压力、开有后门、反制AV技术。
B级
有一定的感染流行面积，或者有鲜明的技术特点值得进一步关注，或为既往A级蠕虫比较成熟的变种
C级
有少量感染流行，或虽然有一定感染流行面积，但是既往B级蠕虫变种。
D级
有极少量感染流行，但有一定潜在威胁。
E级
没有发现感染流行。