我在虚拟机里实验了一下这个病毒，用SSM记录下面的病毒操作过程:
下面部分是删除服务：
进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
注册表群组： User AutoRun
对象：
注册表键： HKCU\Software\Microsoft\Windows\CurrentVersion\Run
注册表值： svcshare
类型: REG_SZ
值： C:\WINDOWS\system32
进程：
路径： C:\WINDOWS\system32\services.exe
PID: 792
用户名: NT AUTHORITY@SYSTEM
信息： Services and Controller app (Microsoft Corporation)
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
进程：
路径： C:\WINDOWS\system32\services.exe
PID: 792
用户名: NT AUTHORITY@SYSTEM
信息： Services and Controller app (Microsoft Corporation)
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\wscsvc\Security
进程：
路径： C:\WINDOWS\system32\services.exe
PID: 792
用户名: NT AUTHORITY@SYSTEM
信息： Services and Controller app (Microsoft Corporation)
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
进程：
路径： C:\WINDOWS\system32\services.exe
PID: 792
用户名: NT AUTHORITY@SYSTEM
信息： Services and Controller app (Microsoft Corporation)
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\wscsvc
服务:\\? ? rity Center 移除 ? ? rity Center 已停止 (禁用) 2006-12-20 15:44:32
父级进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
子级进程：
路径： C:\WINDOWS\system32\cmd.exe
信息： Windows Command Processor (Microsoft Corporation)
命令行：cmd.exe /c net share A$ /del /y
父级进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
子级进程：
路径： C:\WINDOWS\system32\cmd.exe
信息： Windows Command Processor (Microsoft Corporation)
命令行：cmd.exe /c net share admin$ /del /y
父级进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
子级进程：
路径： C:\WINDOWS\system32\cmd.exe
信息： Windows Command Processor (Microsoft Corporation)
命令行：cmd.exe /c net share admin$ /del /y
wl.exe
进程：
路径： C:\WINDOWS\wl.exe
PID: 1772
用户名: 6A73C775C1434B6@iyciff
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\CelInDrv
进程：
路径： C:\WINDOWS\wl.exe
PID: 1772
用户名: 6A73C775C1434B6@iyciff
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\CelInDrv
注册表值： Type
类型: REG_DWORD
值： 00000001
父级进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
子级进程：
路径： C:\WINDOWS\wow.exe
命令行：C:\WINDOWS\wow.exe
进程：
路径： C:\WINDOWS\wl.exe
PID: 1772
用户名: 6A73C775C1434B6@iyciff
注册表群组： Services
对象：
注册表键： HKLM\SYSTEM\CurrentControlSet\Services\CelInDrv
注册表值： ImagePath
类型: REG_SZ
值： \??\C:\WINDOWS\system32\Drivers\CelInDriver.sys
进程：
路径： C:\WINDOWS\wl.exe
PID: 1772
驱动：
路径： C:\WINDOWS\system32\drivers\CelInDriver.sys
父级进程：
路径： E:\setup.exe
PID: 1972
用户名: 6A73C775C1434B6@iyciff
子级进程：
路径： C:\WINDOWS\mh.exe
命令行：C:\WINDOWS\mh.exe
进程：
路径： C:\WINDOWS\mh.exe
PID: 2348
驱动：
路径： C:\WINDOWS\system32\norton.sys
进程：
路径： C:\WINDOWS\wow.exe
PID: 2104
驱动：
路径： C:\WINDOWS\system32\drivers\CelInDriver.sys
进程：
路径： C:\Documents and Settings\Administrator\Local Settings\Temp\mh2\iexpl0re.EXE
PID: 2528
库文件：
路径： C:\Documents and Settings\Administrator\Local Settings\Temp\Mhgx.dll
挂钩类型：WH_MOUSE（监控鼠标）.
进程：
路径： C:\WINDOWS\zt.exe
PID: 2600
用户名: 6A73C775C1434B6@iyciff
对象：
路径： C:\WINDOWS\explorer.exe
信息： Windows Explorer (Microsoft Corporation)
此项允许修改其它程序的虚拟内存，且可用以调整其它程序的性能。
进程：
路径： C:\WINDOWS\zt.exe
PID: 2600
驱动：
路径： C:\WINDOWS\system32\drivers\CelInDriver.sys
服务:\\WinXP DHCP Service 添加 WinXP DHCP Service 已停止 (自动) (系统) 2006-12-20 15:47:28
服务:\\Windows DHCP Service 添加 Windows DHCP Service 已停止 (自动) (系统) 2006-12-20 15:49:14
服务:\\Win32 DHCP Service 添加 Win32 DHCP Service 已停止 (自动) (系统) 2006-12-20 15:50:24
启动项会多出这两项：
iexpl0re.EXE
C:\WINDOWS\system32\drivers\spoclsv.exe
这是病毒加载的三个服务文件：
windhcp.dll
windhcp.ocx
xpdhcp.dll
和他的现象一样,转的他的,请大家帮忙看看
