1．删除 %Documents and Settings%\All Users\Application Data\lanmao.exe
2．删除 %Documents and Settings%\All Users\Application Data\lanmao.xxx
3．删除 %Documents and Settings%\All Users\456.bat
手动删除注册表
1.删除 HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\666666666666666666666666666\
名称：ImagePath
数据：C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\LANMAO.EXE
变量声明：
%SystemDriver% 系统所在分区，通常为“C:\”
%SystemRoot% WINDODWS所在目录，通常为“C:\Windows”
%Documents and Settings% 用户文档目录，通常为“C:\Documents and Settings”
%Temp% 临时文件夹，通常为“C:\Documents and Settings\当前用户名称\Local Settings\Temp”
%ProgramFiles% 系统程序默认安装目录，通常为：“C:\ProgramFiles”作者: pioneer 时间: 2010-11-8 16:59 病毒分析：
1.病毒通过SetErrorMode函数，系统不显示critical-error-handler 消息对话框，只是把错误信息发到调用进程
2.病毒获得系统系统目录路径和"C:\Documents and Settings\All Users\Application Data\lanmao.exe"路径。比较病毒本身是否注入到"C:\WINDOWS\System32\svchost.exe"进程中，
3. 如果不成功，继续比较病毒本身是否注入"C:\Documents and Settings\All Users\Application Data\lanmao.exe"进程中，如果成功，先删除"C:\Documents and Settings\All Users\Application Data\lanmao.exe"文件，然后再在该目录下建立"C:\Documents and Settings\All Users\Application Data\lanmao.exe"文件。病毒创建配置文件“C:\Documents and Settings\All Users\ yirana.inf”
并对该文件写入数据。数据内容是创建注册表信息。
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\666666666666666666666666666\
名称：ImagePath
数据：C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\LANMAO.EXE
以服务的方式启动该进程。
然后创建批处理文件C:\Documents and Settings\All Users\123.bat，以隐藏窗口方式的启动该进程。批处理文件的作用是“rundll32.exe setupapi,InstallHinfSection DefaultInstall 128 C:\Documents and Settings\All Users\yirana.inf ”执行完以后，删除 “ C:\Documents and Settings\All Users\123.bat”和C:\Documents and Settings\All Users\yirana.inf ”文件。然后休眠一段时间，创建批处理文件C:\Documents and Settings\All Users\456.bat，以隐藏窗口方式的启动该进程。批处理文件的作用：删除病毒本身。
4.如果注入成功，建立线程函数，对文件"C:\Documents and Settings\All Users\Application Data\lanmao.exe"进行写入数据操作。然后休眠一段时间，并建立进程快照，遍历"360Safe.exe"进程，找到以后结束该进程。并继续对该文件"C:\Documents and Settings\All Users\Application Data\lanmao.exe"进行写入数据操作。并且将"C:\Documents and Settings\All Users\Application Data\lanmao.exe"移动到同一目录下并重新命名为"C:\Documents and Settings\All Users\Application Data\lanmao.xxx"，并对"C:\Documents and Settings\All Users\Application Data\lanmao.xxx"进行写入数据操作，再一次将"C:\Documents and Settings\All Users\Application Data\lanmao.xxx"移动到同一目录下并重新命名为"C:\Documents and Settings\All Users\Application Data\lanmao.exe"进行写入数据操作。循环进行多次写入操作。
5.病毒获得当前进程的ID号，并建立互斥体变量"MRSG64ZOOBVTGOJOMNXW2ORYGA4DM==="防止程序多次运行。
6.病毒启动网络连接，以及建立线程，通过字符串"MRSG64ZOOBVTGOJOMNXW2ORYGA4DM==="解密出网络地址。然后建立网络连接，发送数据包以及用户的操作系统版本和用户的主机名发送到黑客指定的网站上。
病毒创建文件：
%Documents and Settings%\All Users\Application Data\lanmao.exe
%Documents and Settings%\All Users\123.bat
%Documents and Settings%\All Users\456.bat
%Documents and Settings%\All Users\Application Data\lanmao.xxx
%Documents and Settings%\All Users\ yirana.inf
病毒创建注册表：
HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\666666666666666666666666666\
名称：ImagePath
数据：C:\DOCUMENTS AND SETTINGS\ALL USERS\APPLICATION DATA\LANMAO.EXE
