星期四 07.11.29
症状：
中该病毒的本机一般情况下并没什么特别反应，但会关掉一些可能包含某些敏感字的窗口（俺就是因为这个才发现自己的机器也无意中被感染的）。
该病毒的文件名均与windows系统文件的文件名相同或相似，在中该病毒后，查看系统进程，会发现alg.exe、smss.exe、lsass.exe的系统进程均有两个（只有大小写区别），由于与关键进程文件名相同，很容易疏忽。
该病毒会在\windows\system32\com下生成两个隐藏文件LSASS.EXE和SMSS.EXE，在\windows\system32\drivers下生成一个隐藏文件ALG.EXE，在硬盘所有分区下生成两个隐藏文件autorun.inf与pagefile.pif，autorun.inf的内容为：
[AutoRun]
open=pagefile.pif
shell\open=打开(&O)
shell\open\Command=pagefile.pif
shell\open\Default=1
shell\explore=资源管理器(&X)
shell\explore\Command=pagefile.pif
病毒运行后，会修改注册表HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2下所有磁盘分区下添加或修改一些键值。
危害：
该病毒会劫持LAN的网关，在LAN里的其他访问htm、html、asp、aspx、php、jsp等web页面时，会嵌入一段代码显示广告并将web页面里的一些可下载文件替换成一个87K左右的病毒文件(文件名一般为setup.exe)，所以，该病毒在LAN里的传播速度有可能会非常快！同时，由于该病毒劫持网关，貌似还会发送大量的ARP包，会造成网络通信极其不畅，严重的时候甚至整个网络瘫痪。
杀毒：
NOD32、小红扇等对该病毒完全没反应，KAV只能杀SMSS.EXE，并报告病毒名称为Trojan.Win32.Agent.cyd，但对病毒的主体pagefile.pif与LSASS.EXE并不反应。据说McAfee 8.0可杀该病毒，但我手头没这个软件，未测试。
手工清除病毒：
用IceSword与pendmove或其他任何手段结束ALG.EXE、SMSS.EXE、LSASS.EXE这3个进程（进程名确实为大写字母，注意与系统关键进程alg.exe,smss.exe,lsass.exe区分），将\windows\system32\com\下的隐藏文件LSASS.EXE和SMSS.EXE删除，删除\windows\system32\drivers\ALG.EXE(也是隐藏文件)，且删除所有硬盘分区下的隐藏文件pagefile.pif与autorun.inf，系统重启后再将注册表中HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2下的一些病毒更改或添加的键值删除。
至此，病毒应大致已清除（俺一开始也是这么认为的），但实际上病毒可能已感染系统分区外的其他分区里的可执行文件，被感染的可执行文件一般图标都已变化，在没其他可靠的杀毒手段前，建议删除或暂时不运行。
