猫叔给个样本
对了,如果版家那是的话就算了,直接去那里了

这个木马应该是个下载器,运行后,会下载多种木马.

开启iexplore.exe后,从KsSuperSword的LOG中可以看出IE进程被严重修改:

              KsSafetyCenter's SuperScan Log             

可疑分数246    文件名: C:\Program Files\Internet Explorer\IEXPLORE.EXE

虚拟内存地址        可疑分数点          特征描述

0x00404438          0x0000001E          特征API调用  => CALL AdjustTokenPrivileges         
0x00404440          0x0000001E          特征API调用  => CALL AdjustTokenPrivileges         
0x004044F0          0x00000005          特征API调用  => CALL DeleteFileA         
0x004045A0          0x00000002          特征API调用  => CALL GetProcAddress         
0x004046A8          0x00000005          特征API调用  => CALL WriteProcessMemory         
0x0040525B          0x00000005          特征API跳转  => JMP DeleteFileA         
0x0040534E          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405363          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405880          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405892          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058A4          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058B6          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058C8          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058DA          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058EC          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004058FE          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405910          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405922          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405934          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405946          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00405958          0x00000002          特征API跳转  => JMP GetProcAddress         
0x0040596A          0x00000002          特征API跳转  => JMP GetProcAddress         
0x0040597C          0x00000002          特征API跳转  => JMP GetProcAddress         
0x0040598E          0x00000002          特征API跳转  => JMP GetProcAddress         
0x004061BF          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00406420          0x00000005          特征API调用  => CALL VirtualAllocEx         
0x00406448          0x00000005          特征API调用  => CALL VirtualAllocEx         
0x00406483          0x00000005          特征API跳转  => JMP WriteProcessMemory         
0x0040649F          0x00000005          特征API跳转  => JMP WriteProcessMemory         
0x0040666D          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00408F3E          0x0000001E          特征API跳转  => JMP AdjustTokenPrivileges         
0x00408FBD          0x0000001E          特征API跳转  => JMP AdjustTokenPrivileges         
0x00409BC9          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00409BDE          0x00000002          特征API跳转  => JMP GetProcAddress         
0x00409E69          0x0000001E          特征API跳转  => JMP AdjustTokenPrivileges         
0xFFFFFFFF          0x0000000F          组合行为特征 => 非法文件操作         

然后IceSword(1.22)的驱动文件IsDrv122.sys就因写入只读内存而造成了蓝屏

接着,winso32.sys(病毒的驱动?)也因写入只读内存而造成蓝屏..见图..

所以这些蓝屏应该是病毒本身造成的.可见这个病毒本身并不完善,驱动中BUG太多.

这个病毒瑞星的什么版本可以搞定它