病毒首先会判断自身的一些特征，以判断自己是不是被修改了...
然后通过 ControlService 函数操作系统服务 wscsvc，也就是 Windows安全中心服务。
将其设置为：SERVICE_CONTROL_STOP 也就是关闭这个服务。
对以下服务，再次执行同一过程：
helpsvc 服务，也就是 Windows帮助和支持服务
wuauserv服务，也就是 Windows自动更新服务
SharedAccess 服务，也就是 Windows防火墙/Internet共享服务。
删除
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\iqbbnt.exe
HKLM\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\ovxaxqv.exe
以阻止用户通过设定 IFEO 劫持病毒后续释放的文件。
获得 Windows 路径，并通过字符串操作，返回上级目录后挂靠：
Program Files\Common Files\System\iqdbbnt.exe
一般就会得到路径：
C:\Program Files\Common Files\System\iqdbbnt.exe
同样的获得路径:
C:\Program Files\Common Files\Microsoft Shared\ovxaxqv.exe
然后这里出现关键性运行分支，打开一个由计算机名计算后得到的两个互斥体，如果都失败（表示病毒未被激活，则执行以下操作：）
通过 SetFileAttributes 设置以上两个文件的属性为正常，并且删除。如果失败，会调用 RemoveDirectory 删除同名的文件夹。（破占坑免疫）
删除注册表 Run 键值下的 yihewli，givyihg。
将自身复制到以上获得的两个路径。并分别用 WinExec 函数执行。
最后用 WinExec 调用：C:\WINDOWS\system32\cmd.exe /c del .... 删除自身。（反复这个过程，直到被删除为止...）
如果互斥体打开成功，表示病毒正在激活。
如果互斥体只打开成功一个，则立即复制自身到另一个路径，并调用那个程序。
也就是前些年常见的双进程互守。
创建 3 个线程，分别用来守护另一个项目的进程，启动项，以及病毒作怪的主线程。都是 5000ms 一次。
主线程为下：
穷列盘符，GetDriveType 判断盘符类型，如果是固定或可移动设备，则写入 AutoRun.inf 文件和复制自身。
设置 IFEO，劫持以下进程：
Ras.exe
avp.com
avp.exe
runiep.exe
PFW.exe
FYFireWall.exe
rfwmain.exe
rfwsrv.exe
KAVPF.exe
KPFW32.exe
nod32kui.exe
nod32.exe
Navapsvc.exe
Navapw32.exe
avconsol.exe
webscanx.exe
NPFMntor.exe
vsstat.exe
zjb.exe
KPfwSvc.exe
RavTask.exe
Rav.exe
RavMon.exe
mmsk.exe
WoptiClean.exe
QQKav.exe
QQDoctor.exe
EGHOST.exe
360Safe.exe
iparmo.exe
adam.exe
IceSword.exe
360rpt.exe
360tray.exe
AgentSvr.exe
AppSvc32.exe
autoruns.exe
avgrssvc.exe
AvMonitor.exe
CCenter.exe
ccSvcHst.exe
FileDsty.exe
FTCleanerShell.exe
HijackThis.exe
Iparmor.exe
isPwdSvc.exe
kabaload.exe
KaScrScn.SCR
KASMain.exe
KASTask.exe
KAV32.exe
KAVDX.exe
KAVPFW.exe
KAVSetup.exe
KAVStart.exe
KISLnchr.exe
KMailMon.exe
KMFilter.exe
KPFW32X.exe
KPFWSvc.exe
KRegEx.exe
KsLoader.exe
KVCenter.kxp
KvDetect.exe
KvfwMcl.exe
KVMonXP.kxp
KVMonXP_1.kxp
kvol.exe
kvolself.exe
KVScan.kxp
KVSrvXP.exe
KVStub.kxp
kvupload.exe
kvwsc.exe
KvXP.kxp
KvXP_1.kxp
KWatch.exe
KWatch9x.exe
KWatchX.exe
loaddll.exe
MagicSet.exe
mcconsol.exe
mmqczj.exe
nod32krn.exe
PFWLiveUpdate.exe
QHSET.exe
RavMonD.exe
RavStub.exe
RegClean.exe
rfwcfg.exe
RfwMain.exe
RsAgent.exe
Rsaupd.exe
safelive.exe
Antiarp.exe
scan32.exe
shcfg32.exe
SmartUp.exe
SREng.EXE
symlcsvc.exe
SysSafe.exe
TrojanDetector.exe
Trojanwall.exe
TrojDie.kxp
UIHost.exe
UmxAgent.exe
UmxAttachment.exe
UmxCfg.exe
UmxFwHlp.exe
UmxPol.exe
UpLive.exe
upiea.exe
AST.exe
ArSwp.exe
USBCleaner.exe
rstrui.exe
KvReport.kxp
QQSC.exe
ghost.exe
AvastU3.exe
KRepair.com
设置自身的两个路径，以及所属文件夹属性为：HIDDEN 和 SYSTEM...就是隐藏和系统属性。
这样中毒者连 \Program Files\Common Files\System 和 \Program Files\Common Files\Microsoft Shared 都看不到了。
删除注册表项目：
SYSTEM\ControlSet001\Control\SafeBoot\Network
SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal
下的 {4D36E967-E325-11CE-BFC1-08002BE10318}
破坏安全模式
彻底删除 CheckedValue 项目，无法浏览隐藏文件夹。
打开，SYSTEM\ControlSet001\Control\StorageDevicePolicies
设置 WriteProtect 项目为 0
打开，software\microsoft\windows\currentversion\explorer\advanced
设置 ShowSuperHidden 项目为 0
打开，software\microsoft\windows\currentversion\policies\explorer
设置 NoDriveTypeAutoRun 项目为 00000091
打开：SYSTEM\CurrentControlSet\Services\SharedAccess
设置 Start 为 4，也就是禁用。
同样的处理：
SYSTEM\CurrentControlSet\Services\helpsvc
SYSTEM\CurrentControlSet\Services\wscsvc
SYSTEM\CurrentControlSet\Services\wuauserv
SYSTEM\CurrentControlSet\Services\RSPPSYS
更改以下文件为随机文件名。可以起到一定的杀毒作用，哈哈，病毒作者在帮你杀灭一些常见的病毒哦。
Windows\System32\svchost.exe
Windows\System32\niu.exe
Windows\System32\sbl.dll
Windows\System32\wniapsvr.exe
Windows\System32\Shell.exe
Windows\System32\Shell.pci
Windows\System32\crsss.exe
Windows\System32\chost.exe
Windows\System32\dream.exe
Windows\System32\Tasks.exe
Windows\System32\forget.dll
Windows\System32\Systom.exe
Windows\System32\ctfm0n.exe
Windows\System32\NATIVE.EXE
Windows\System32\directx.exe
Windows\System32\progmon.exe
Windows\System32\internt.exe
Windows\System32\SoftDLL.dll
Windows\System32\MySetup.exe
Windows\System32\SocksA.exe
Windows\System32\algssl.exe
Windows\System32\plmmsbl.dll
Windows\System32\servver.exe
Windows\System32\chostbl.exe
Windows\System32\lovesbl.dll
Windows\System32\netdde .exe
Windows\System32\svrhost.dll
Windows\System32\wnipsvr.exe
Windows\System32\Session.exe
Windows\System32\algsrvs.exe
Windows\System32\msfun80.exe
Windows\System32\msime82.exe
Windows\System32\msime80.exe
Windows\System32\msfir80.exe
Windows\System32\fixfile.exe
Windows\System32\MicrSoft.exe
Windows\System32\WMDSINFO.dll
Windows\System32\Mcshie1d.exe
Windows\System32\Exp1orer.exe
Windows\System32\snowfall.exe
Windows\System32\compobj32.dll
Windows\System32\snownClean.exe
Windows\System32\Web\css.css
Windows\System32\Com\lsass.exe
Windows\System32\Com\smss.exe
WINDOWS\system32\IME\svchost.exe
WINDOWS\Debug\Debug.exe
WINDOWS\system32\Drivers\csrss.exe
通过 FindWindows 查找包含以下关键字的窗体，并关闭它们（发送 WM_QUIT 消息）：
江民
瑞星
毒霸
恶意软
流氓软
上报
QQ安全
举报
预警
进程
System
Shared
x
上報
舉報
诊断
杀毒
2007
Sysint
meex
报警
AV终结
一键
木马
木馬
殺毒
360安全
查毒
病毒
USB
卡巴
:\ - WinRAR
Ghost
还原
Process
usb
清理助
iqdbbnt
ovxaxqv
专
杀
杀
av终结者
8749
木马专杀
icesword
编辑字符串
编辑 dword 值
以及 WndClass 为：#32770 的窗体。（有很多，比如 Windows 任务管理器）
通过 UrlDownloadToFile 下载
http://www.webweb.com/readdown.txt 地址已经失效了。估计是一个下载列表吧。
后面的就没有调试到，大概看了看代码，应该是根据这个下载列表去下载各种病毒和木马吧。
