病毒特征文件：avp.exe、hs4viewer.dll、ws2ifsl.sys
简介：avp.exe是卡巴斯基杀毒软件的相关程序。但如果你的系统没有安装该软件，则可能是将死者病毒的文件，它本身是一个压缩文件，如果打开压缩文件，就会变成136kb的文件。此病毒是用visual basic编写，且经过压缩软件upx压缩，反解压工具处理，使之用原始的upx不能解压。由于是vb编写的病毒，它运行时就需要一个vb的动态链接库msvbvm60.dll，若用户的计算机里没这个文件，病毒就无法被激活，这些用户则会幸免于难。运行该样本后，该样本借助看图软件（本机为ACDSee）打开，为一美女图片
释放文件：
%system%/hs4viewer.dll
%windir%/avp.exe
还有其他一些完成使命后自我删除的文件
%system%/delplme.bat
%Documents and Settings%/计算机名/Local Settings/Temp/RarSFX0/1.jpg
%Documents and Settings%/计算机名/Local Settings/Temp/RarSFX0/server.exe
.....
添加系统服务
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet003/Services/VGADown]
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet003/Enum/Root/LEGACY_VGADOWN]
指向 %windir%/avp.exe
加载驱动（系统正常文件，处理时别动它）
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet003/Services/WS2IFSL]
%system%/drivers/ws2ifsl.sys
作恶特点：
1、avp.exe冒充卡巴斯基的正常进程
2、修改SPI,添加hs4viewer.dll，这个难以说清楚，跟以前的流氓软件roogoo差不多，看hijackthis和sreng日志体现吧
Winsock 提供者
MSAFD Tcpip [TCP/IP]
C:/WINDOWS/system32/hs4viewer.dll(N/A, N/A)
O10 - Unknown file in Winsock LSP: %system%/hs4viewer.dll
解决过程：
1、清除掉病毒avp.exe
如果装有卡巴斯基，可以使用procexp来判断哪个avp.exe是病毒进程，终止该进程后，删除avp.exe以及其添加的注册表信息，如
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet003/Services/VGADown]
[HKEY_LOCAL_MACHINE/SYSTEM/ControlSet003/Enum/Root/LEGACY_VGADOWN]
%windir%/avp.exe
要是不嫌麻烦，可以先删除其创建的注册表服务信息，然后重启，再删除avp.exe
2、使用lspfix.exe或其他工具来解决掉hs4viewer.dll
这个尤其要注意，不要蛮干，别搞的上不了网，个人习惯使用lspfix.exe。LSPFix处理完毕后，再手工删除%system%/hs4viewer.dll
【相关工具下载】
http://download.it168.com/06/0603/55860/55860_3.shtml（Procexp汉化版）http://bbs.360safe.com/attachment.php?aid=6823(LSPFix汉化版.exe)
