病毒綜述
病毒名稱： Trojan-Downloader.Win32.Delf.bdc
病毒類型： 木馬
檔案 MD5： A6059C06F6EC7CFFA1D035B61D482E94
公開範圍： 完全公開
危害等級： 3
檔案長度： 42,481 位元組
感染系統： windows98 以上系統
開發工具： NSPack 3.x
加殼類型： Borland Delphi 6.0 - 7.0
命名對照： 驅逐艦[Trojan.Downloader.15912]
AntiVir [TR/Dldr.Delf.bdc]
病毒描述
該病毒為木馬類，病毒運行後連線網路，下載病毒檔案並自動運行，衍生病毒檔案 到系統正常目錄下，修改註冊表，添加啟動項，以達到隨機啟動的目的。中此病毒後， 計算機會彈出廣告件， 由於該病毒連線網路，下載其他病毒檔案，所以併發症較多， 不易手動清除。
行為分析：
1、 病毒運行後連線網路，下載病毒檔案並自動運行：
域名： IP ：
DoorLink.bhtmm.com/helper.exe 61.172.202.46
www.k1＊3.net/x＊.exe 208.113.141.24
2、 衍生和下載的病毒檔案：
%Documents and Settings%\( 計算機用戶名 )\Local Settings\
Temp\QQ.Exe Trojan.Win32.Delf.rf
%Program Files%\Common Files\Microsoft Shared\MSInfo\
InfoMs.Ime Trojan-Downloader.Win32.Delf.ady
%Program Files%\Internet Explorer\PLUGINS\
CDown.sys Trojan-PSW.Win32.Delf.uf
%Program Files%\Internet Explorer\PLUGINS\CDown.dll
3、 修改註冊表鍵值：
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
\InProcServer32\
鍵值 : 字串 : " ＠ "="%Program Files%\Internet Explorer\
PLUGINS\CDown.sys"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\
\InProcServer32\
鍵值 : 字串 : ＠ "="%Program Files%\Common Files\Microsoft
Shared\ MSINFO\InfoMs.Ime"
4、 中此病毒後，計算機會彈出廣告件， 由於該病毒連線網路，下載其他病毒
檔案，所以併發症較多，不易手動清除。
註：% System%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。
Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的
安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。
--------------------------------------------------------------------------------
清除方案：
1、使用安天木馬防線可徹底清除此病毒(推薦)。
2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。
(1) 使用 安天木馬防線 “進程管理”關閉病毒進程
(2) 刪除病毒檔案
%Documents and Settings%\( 計算機用戶名 )\Local Settings\Temp\QQ.Exe
%Program Files%\Common Files\Microsoft Shared\MSInfo\InfoMs.Ime
%Program Files%\Internet Explorer\PLUGINS\CDown.sys %Program Files%\Internet Explorer\PLUGINS\CDown.dll
(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\\InProcServer32\
鍵值 : 字串 : " ＠ "="%Program Files%\InternetExplorer\PLUGINS\CDown.sys" HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\\InProcServer32\
鍵值 : 字串 : ＠ "="%Program Files%\Common Files\Microsoft Shared\ MSINFO\InfoMs.Ime"
