病毒名称：万花病毒

　　病毒类型：脚本病毒

　　病毒简介：

　　初识“万花谷”

　　当登陆某个网站后，机器莫名其妙地死机；重新启动后你会看到一个奇怪的提示：“欢迎你来万花谷，你中了“万花病毒”请与QQ：4040465联系”。进入 Windows 后，你会发现 C: 盘不能使用了，“开始”菜单上的“运行”、“注销”和“关机”项都不见了。打开 IE 浏览器你会发现窗口的标题也变成了“欢迎来到万花谷!请与OICQ:4040465联系!”。这时，你已经感染了一个俗称“万花谷”的 JS.On888 脚本病毒！

　　进入“万花谷”

　　该病毒是嵌在 HTML 网页中的一段 Java 脚本程序，它最初出现在 http://on888.home.chinaren.com 个人网站上，随后其他一些个人主页也模仿或被感染了该病毒代码。

　　和普通脚本病毒有所不同的是，用“查看源文件”的方法来查看感染“万花谷”病毒的网页代码时，只能看到一大段的杂乱字符。为了具有隐蔽性，该病毒采用了 JavaScript 的 escape() 函数进行了字符处理，把某些符号、汉字等变成乱码以达到迷惑人的目的。程序运行时再调用 unescape() 解码到本地机器上运行。

　　该病毒的感染主要是通过修改注册表来实现的。以下为其设置或修改的注册表项：

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoRun 为 01 (取消开始菜单上的“运行”项)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoClose" 为 01 (取消开始菜单上的“关闭”项)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoLogOff" 为 01 (取消开始菜单上的“注销”项)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDrives" 为 "00000004" (取消对 C: 盘的访问权限)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemDisableRegistryTools" 为 "00000001" (使注册表工具不可用)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerNoDesktop" 为 "00000001" (取消桌面)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldAppDisabled" 为 "00000001" (原 DOS 程序不可用)

　　设置 "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesWinOldAppNoRealMode" 为 "00000001" (不能进入 DOS 方式)

　　设置 "HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeCaption" 为 "欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!" (设置登录窗口的标题为“欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!”)

　　设置 "HKLMSoftwareMicrosoftWindowsCurrentVersionWinlogonLegalNoticeText" 为 "欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!" (设置登录窗口的提示为“欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!”)

　　设置 "HKLMSoftwareMicrosoftInternet ExplorerMainWindow Title" 为 "欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!" (设置 IE 窗口的标题为“欢迎来到万花谷!你中了※万花奇毒※.请与OICQ:4040465联系!”)

　　修改 "HKCUSoftwareMicrosoftInternet ExplorerMainStart Page" 为 http://www.on888.home.chinaren.com/" (设置 IE 的主页链接为 http://www.on888.home.chinaren.com )

　　另外，该病毒还会在收藏夹中增加相应的链接。

　　除了修改注册表和收藏夹外，“万花谷”病毒不会破坏系统，删除、感染或修改文件等。