此木马篡改系统中的HOSTS文件，即使修复，每次开机启动后仍会“还原”成篡改后的状态，同时劫持IE主页到www.haol23.in。此木马可能捆绑在某游戏或软件中，通过下载安装而侵入用户电脑。被修改过的HOSTS的部分内容如下，所有网址指向同一个IP：173.252.193.47，因此打开淘宝网站就被劫持跳转到钓鱼网站上。
......
173.252.193.47 www.taobao.com
173.252.193.47 www.mbaobao.com
173.252.193.47 www.91kd.cn
173.252.193.47 www.66taoke.com
173.252.193.47 www.haixitaoke.com
173.252.193.47 www.ttcome.cn
173.252.193.47 www.taoke.info
173.252.193.47 www.taoke.la
173.252.193.47 www.cntorg.com
173.252.193.47 www.taokw.com
173.252.193.47 www.nvtaoke.com
173.252.193.47 www.4155.cn
173.252.193.47 www.fanql.com
173.252.193.47 www.taoke01.cn
173.252.193.47 www.dgtaoke.com
......
劫持IE主页是通过修改以下注册表项（每次启动时导入注册表），即引导IE每次启动时都打开www.haol23.in网站：
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHomePage\Command]
@=hex(2):63,00,3a,00,5c,00,70,00,72,00,6f,00,67,00,72,00,61,00,6d,00,20,00,66,\
00,69,00,6c,00,65,00,73,00,5c,00,69,00,6e,00,74,00,65,00,72,00,6e,00,65,00,\
74,00,20,00,65,00,78,00,70,00,6c,00,6f,00,72,00,65,00,72,00,5c,00,69,00,65,\
00,78,00,70,00,6c,00,6f,00,72,00,65,00,2e,00,65,00,78,00,65,00,20,00,77,00,\
77,00,77,00,2e,00,68,00,61,00,6f,00,6c,00,32,00,33,00,2e,00,69,00,6e,00,00,\
00
通过16进制转换成ASCII码，以上内容“翻译”为：
C:\Program Files\Internet Explorer\iexplore.exe www.haol23.in
此位置正常的注册表值内容如下：
C:\Program Files\Internet Explorer\iexplore.exe
修复方法如下：
1.删除以下文件：
d:\vmware\vmware.exe
2.使用SREng修复下面内容：
启动项目 －－ 启动文件夹之如下项删除：
[vmware] <D:\VMware\vmware.exe>
3.修复以上注册表项的值（搜索C盘，可能每次开机启动时导入注册表的注册表文件就在上面，后缀名为.reg，通过右击-编辑打开，内容如上面所示，不要双击，双击将导入注册表）
4.使用SREng修复HOSTS，系统修复－－HOSTS文件－－重置（或手工修复，用记事本打开，全部删除其中内容，仅保留一行：127.0.0.1 localhost）
注意，可能会有不同的启动项，本例仅供参考，据了解，可能有的启动项是在注册表中，如[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{f92B23AB-A707-22d2-9CBD-0000F87A469H}]，有的虽然也是是启动文件夹项中，但文件名不同，如d:\my documents\ghhv.exe或C:\\Documents and Settings\\All Users\\Microsoftof.exe，还有个别的可能有加入驱动。
>> 除非说明均为原创，如转载请注明来源于http://www.stormcn.cn/post/976.html
