File: XPE.exe
Size: 36864 bytes

编写语言 Microsoft Visual Basic 5.0 / 6.0

生成C:\WINDOWS\system32\PINBALL.EXE
C:\WINDOWS\system32\vmwin.exe
C:\WINDOWS\vmwinm.exe
C:\WINDOWS\system32\dllcache\freecell.exe
C:\WINDOWS\system32\dllcache\mspaint.exe
C:\WINDOWS\system32\dllcache\pinball.exe
C:\WINDOWS\system32\dllcache\sndrec32.exe
C:\WINDOWS\system32\dllcache\sol.exe
C:\WINDOWS\system32\dllcache\spider.exe
C:\WINDOWS\system32\dllcache\winmine.exe
C:\WINDOWS\system32\freecell.exe
C:\WINDOWS\system32\mspaint.exe
C:\WINDOWS\system32\sndrec32.exe
C:\WINDOWS\system32\sol.exe
C:\WINDOWS\system32\spider.exe
C:\WINDOWS\system32\winmine.exe

作者手法比较特殊 替换了windows自带的画图工具 和一些windows自带的游戏的exe文件

所有生成的文件与XPE.exe完全相同 只是文件名不同

在除系统分区下的其他分区生成 XPE.exe和autorun.inf

增加HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\vmwin: "C:\WINDOWS\system32\vmwin.exe"
开机启动

调用IE不断访问http://www.sina-cs.cn/?q=v5

和http://www.mianfei-dianying.cn/v-files/alexa.asp?Q=5
删除方法没什么特别的 安全模式下删除上述生成的文件即可

那些被替换的文件可以从别的机器上拷过来