A、停止下列服务:
Rising Realtime Monitor Service
Symantec Antivirus Server
Symantec Client
来阻止病毒防火墙自动运行.

B、,结束掉含有下列字符串的进程:
Duba
KAV
SkyNet
Symantec
McAfee
Gate
Rfw.exe
RavMon.exe
kill
rising
Nav
让反病毒软件失效

C、搜索c-z的硬盘,如果发现可移动设备,进行下列操作:
搜索扩展名为exe的文件,将原文件扩展名改为zmx,同时将病毒自身拷贝到此并和原文件同名.

D、拷贝自身到网络共享可写目录,名字为:
WinRAR.exe
Internet Explorer.bat
Documents and Settings.txt.exe
Microsoft Office.exe
Windows Media Player.zip.exe
Support Tools.exe
WindowsUpdate.pif
Cain.pif
MSDN.ZIP.pif
autoexec.bat
findpass.exe
client.exe
i386.exe
winhlp32.exe
xcopy.exe
mmc.exe

E、使简单的的密码组合来攻击远程机器的Administrator帐号，攻击成功后传播病毒

A、自我复制到
%Windir%\CDPlay.exe
%Windir%\Exploier.exe
%System%\IEXPLORE.exe
%System%\RAVMOND.exe
%System%\WinHelp.exe
%System%\Update_OB.exe
%System%\TkBellExe.exe
%System%\hxdef.exe
%System%\Kernel66.dll (隐藏属性)

B、,在每个分区的根目录建立一个名为CDROM.COM的文件

C、,建立%System%\iexplorer.exe这个文件,这是恶邮差系列的另外一个变种,当这个变种运行时,进行的系统修改有:
a、拷贝自身到%System%\spollsv.exe.
b、添加下列键值:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Shell Extension" = "%system%\spollsv.exe"

D、在每个分区根目录下建立autorun.inf文件,内容为:
[Autorun]
open="C:\cdrom.com"/StartExplorer

E、在每个分区根目录下建立下列文件:
Bakeup
Tools
email
扩展名为:
RAR
ZIP

F、向注册表添加:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Winhelp"="%system%\TkBellExe.exe..."
"Microsoft Associates, Inc."="%system%\iexplorer.exe"
"Hardware Profile"="%system%\hxdef.exe..."
"Program in Windows"="%system%\IEXPLORE.exe"

G、添加服务:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
"SystemTra"="%Windor%\CDPlay.EXE"
"COM++ System"="exploier.exe"

H、修改注册表键值:
HKEY_CLASSES_ROOT\txtfile\shell\open\command
HKEY_LOCAL_MACHINE\Software\Classes\txtfile\shell\open\command
"(Default)"="Update_OB.exe%1"
这样当你每次打开一个txt文件时,病毒都会运行.

I、创建注册表键值:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ZMXLIB1

J、添加下列注册表键值:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
"run"="RAVMOND.exe"

K、在端口6000进行监听,将监听结果记录到:
C:\Netlog.txt,并通过email发送给攻击者

L、将%Windir%\Media设置为共享目录,名字为Media

M、在本地搜索扩展名为exe的文件,进行感染.