前几天从QQ群里发现一个地址www.oljkwd.cn/204.rar，从该地址下载了一个压缩包，解压以后是一个名为204的文件夹。其中有一个名为"我的照片.E(大写)xe",明摆着就是病毒，就放在了那里。瑞星虽每天都升级到最新版本，但过几天查这个文件还是什么反应都没有，只好自己来看，发现这个用UPX加壳的文件提取以后从33.1KB变成了71.1KB，返回的文件类型为Borland Delphi，这病毒真的编写得如此隐蔽？我启动了文件，只是QQ程序出错了，其它一切正常。当关闭IE时，瑞星提示发现好多病毒（见下），好像还调用了CMD，在关机前发现如下病毒
病毒名称 处理结果 扫描方式 路径 文件
Trojan.PSW.Win32.OnlineGames.yov 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp qqhx.exe>>upack0.34
Trojan.PSW.Win32.YBOnline.as 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp jh.exe>>upack0.34
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjx 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zt.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypy 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 3.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypw 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 5.exe
Trojan.PSW.Win32.OnlineGames.yks 删除成功 文件监控 C:\Documents and Settings\Administrator\Local Settings\Temporary Internet Files\Content.IE5\8T27K12Z da[1].exe
Trojan.PSW.Win32.YBOnline.as 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp jh.exe>>upack0.34
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.WoWar.wr 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zx.exe>>upack0.39
Trojan.PSW.Win32.ZhengTu.yjx 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp my.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypy 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 3.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypw 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp 5.exe
可是又发现QQ密码最多只能输入14位，软键盘也失控了，看来又有病毒，还好没有输入正确的密码，但QQ安全中心、QQ的查杀木马都没有任何异常。
上报了该病毒后提示
…………
1.文件名：我的照片.Exe
病毒名：Worm.Win32.PaBug.p
…………
您所上报的病毒文件将在19.40.50版本中处理解决。
随后删除了访问规则中的所有规则，并升级了杀毒软件随即又出现大量发现病毒的窗口：
病毒名称 处理结果 扫描方式 路径 文件
Trojan.PSW.Win32.OnlineGames.yov 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp qqhx.exe>>upack0.34
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.OnlineGames.yqf 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp wmgj.exe
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.WoWar.wr 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zx.exe>>upack0.39
Trojan.PSW.Win32.TLOnline.ax 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp tl.exe>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjx 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp my.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypy 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 3.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.yov 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp qqhx.exe>>upack0.34
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.OnlineGames.yqf 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp wmgj.exe
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.WoWar.wr 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zx.exe>>upack0.39
Trojan.PSW.Win32.TLOnline.ax 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp tl.exe>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjx 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp my.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.ypy 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 3.exe>>upack0.34
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.WoWar.wr 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zx.exe>>upack0.39
Trojan.PSW.Win32.TLOnline.ax 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp tl.exe>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjx 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp my.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.QQHX.tpv 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp qqhx.exe>>upack0.34
Trojan.PSW.Win32.WoWar.xi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wow.exe>>upack0.39
Trojan.PSW.Win32.QQHX.tpv 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp hx2.exe>>upack0.34
Trojan.PSW.Win32.WsGame.aj 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp mh.exe>>upx_c
Trojan.PSW.Win32.SunOnline.ch 删除成功 文件监控 C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp qjsj.exe
Trojan.PSW.Win32.AskTao.ch 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wd.exe>>upack0.39
Trojan.PSW.Win32.OnlineGames.yqi 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp wl.exe>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjy 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zt.exe>>upack0.39
Trojan.PSW.Win32.WoWar.wr 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp zx.exe>>upack0.39
Trojan.PSW.Win32.TLOnline.ax 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp tl.exe>>upack0.34
Trojan.PSW.Win32.OnlineGames.yrd 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 1.exe>>upack0.34
Trojan.PSW.Win32.XYOnline.hw 删除成功 文件监控 c:\docume~1\admini~1\locals~1\temp 2.exe>>upack0.34
Trojan.PSW.Win32.ZhuXian.bl 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting avpzx.dat>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjy 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravztmon.dat>>upack0.34
Trojan.PSW.Win32.ZhuXian.bl 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting avpzx.dat>>upack0.34
Trojan.PSW.Win32.ZhengTu.yjy 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravztmon.dat>>upack0.34
Trojan.PSW.Win32.ZhuXian.bl 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting avpzx.dat>>upack0.34
Trojan.PSW.Win32.ZhuXian.bl 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting avpzx.dat>>upack0.34
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Worm.Win32.PaBug.p 重新启动计算机后删除文件 文件监控 C:\Program Files\Internet Explorer\PLUGINS WinSys64.Sys
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Worm.Win32.PaBug.p 重新启动计算机后删除文件 文件监控 C:\Program Files\Internet Explorer\PLUGINS WinSys64.Sys
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Trojan.PSW.Win32.AskTao.ch 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravwdmon.dat>>upack0.34
Worm.Win32.PaBug.p 重新启动计算机后删除文件 文件监控 C:\Program Files\Internet Explorer\PLUGINS WinSys64.Sys
Trojan.PSW.Win32.QQHX.tpv 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kaqhczy.dll
Worm.Win32.PaBug.p 重新启动计算机后删除文件 文件监控 C:\Program Files\Internet Explorer\PLUGINS WinSys64.Sys
Trojan.PSW.Win32.WsGame.aj 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 xyupri0.dll
Trojan.PSW.Win32.OnlineGames.yrd 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kacqazy.dll
Trojan.PSW.Win32.WsGame.aj 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 xyupri0.dll
Trojan.PSW.Win32.OnlineGames.yrd 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 kacqazy.dll
Trojan.PSW.Win32.OnlineGames.yrd 删除成功 文件监控 c:\winnt\system32 kacqaaz.exe>>upack0.34
Trojan.PSW.Win32.QQHX.tpv 删除成功 文件监控 c:\winnt\system32 kapjaaz.exe>>upack0.34
……
而且是无限循环，只好重启。计算机看似一切正常，但却隐藏着深深的危机。
再次开机，升级了瑞星，又提示:
Trojan.PSW.Win32.AskTao.ch 删除成功 文件监控 c:\program files\netmeeting ravwdmon.exe>>upack0.39
Trojan.PSW.Win32.ZhuXian.bl 删除成功 文件监控 c:\program files\netmeeting avpzx.exe>>upack0.39
Trojan.PSW.Win32.ZhengTu.yjy 删除成功 文件监控 c:\program files\netmeeting ravztmon.exe>>upack0.39
登录QQ，竟然发现好像上次登录地址是江苏，我明明没有输入过密码，奇怪。关闭QQ
提示
Trojan.PSW.Win32.YBOnline.av 重新启动计算机后删除文件 文件监控 c:\winnt\system32 mscomm.dll>>upack0.34
重启后发现开机用户登录时瑞星监控不见了，启动后，邮件发送、接收监控都被禁用了，启动不了，网也断了，修复了winsock服务提供者才恢复正常。再次升级后，又发现：
Trojan.PSW.Win32.ZeroOnline.ax 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravjzmon.dat>>upack0.34
Trojan.PSW.Win32.ZeroOnline.ax 重新启动计算机后删除文件 文件监控 c:\program files\netmeeting ravjzmon.dat>>upack0.34
Trojan.PSW.Win32.RocOnline.ec 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 rsmyapm.dll
Trojan.PSW.Win32.RocOnline.ec 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 rsmyapm.dll
Trojan.PSW.Win32.RocOnline.ec 重新启动计算机后删除文件 文件监控 C:\WINNT\system32 rsmyapm.dll
………………
打印机也出错了。在E盘根目录下出现名为autorun.exe的文件，登录QQ，显示登录地址在云南。QQ医生检查发现自动更新也被关闭，一看，还被锁定了。
哪位高手能帮我分析一下这个病毒，在代码分析后面贴上详细的解决方案及病毒的编写思想，在下先谢了！
[用户系统信息]Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322; .NET CLR 2.0.50727)
