关注恶意软件：

• 名称：网购木马（Trojan-Banker.Win32.Bancyn）
• 文件大小：864256字节
• 加壳方式：未加壳

创建文件：
C:\Documents and Settings\All Users\ntuser.pol
C:\WINDOWS\SoftwareDistribution\DataStore\Logs\tmp.edb
C:\WINDOWS\system32\GroupPolicy\gpt.ini
C:\WINDOWS\system32\GroupPolicy\Machine\Registry.pol

创建目录：
无

创建注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\0 Options dword:00000000
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\0 Version dword:006c006c
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\0 DSPath "LocalGPO"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\{35378EAC-683F-11D2-A89A-00C04FBBCFA2}\0 FileSysPath "C:\WINDOWS\System32\GroupPolicy\Machine"
等。

修改注册表：
无

主要行为：
这是一种用易语言编写的网购木马。木马运行后会首先创建组策略文件禁止某些安全软件运行并调用gpupdate /force应用此组策略。之后木马会查找系统中是否存在某常见安全软件进程，如果存在则将其关闭。为了获取木马推广人信息，木马会向**.co**gate.com/username.asp?Uid=发送请求，之后向**.co**gate.com/Install/Post.asp?Uid=发送信息，表示此推广人又成功向用户机器中植入了一个木马。此木马还会监视用户的浏览器。一旦发现用户正在进行网络支付，即会将支付的收款方修改为黑客的账户，使用户支付到黑客的账户中。

专家预防建议:

• 建立良好的安全习惯，不打开可疑邮件和可疑网站。
• 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。
• 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。
• 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。
• 安装专业的防毒软件升级到最新版本，并开启实时监控功能。
• 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。
• 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。