小浩蠕蟲

病毒運行特徵

Worm/XiaoHao.a 蠕蟲採用Visual C++6.0 工具編寫，並經過UPX工具加殼處理，病毒運行後，會在每個硬碟跟目錄下釋放病毒檔案：

c:\xiaohao.exe, 402706位元組

c:\autorun.inf, 91位元組

其中xiaohao.exe 檔案為病毒主體，該檔案運行後搜尋全盤擴展名為*.exe 的檔案，將自身病毒體寫入到正常檔案中，從而使原檔案成為新的病毒體，被感染後的檔案圖示為一個表示有“浩”字的圖示，當瀏覽含有被感染病毒檔案的視窗時，視窗的標題欄會有已中毒 X14o-H4o's Virus 的字樣。

由於該病毒採用的是覆蓋式寫入，因此被感染後的檔案無法恢復。並且該病毒進程還會創建iexplore.exe 子進程，利用多個系統漏洞下載木馬病毒。

另外，在各個硬碟跟目錄下釋放的autorun.inf 檔案是病毒主體的伴生檔案，該檔案內容如下：

[Autorun]

shellexecute=Xiaohao.exe

shell\Auto\command=Xiaohao.exe

這樣，該病毒就可以利用Windows系統的自動播放功能藉助與隨身碟來傳播，當用戶在不知情的情況下，雙擊已感染該病毒的隨身碟時，就會將病毒傳播到新的系統中。

該病毒會將系統時間修改為2005年1月17日，使一些防毒軟體的使用授權失效，病毒還會模擬滑鼠操作，企圖繞過防毒軟體的主動防禦功能。

該病毒會將其他未被感染的檔案設定成隱藏屬性，還會生成檔案：c:\Jilu.txt，用以記錄被感染的檔案和被隱藏的檔案。該病毒還會破壞註冊表相關鍵值，使其不能顯示隱藏檔案，嚴重影響了電腦的正常使用。

據息，該病毒作者還將病毒原始碼公開在網際網路中，並且還留下了自己的QQ號和部落格地址，稱“歡迎各位大牛. 來指導我或者是交流” ，具有明顯的技術炫耀性。

針對此病毒，江民科技已經緊急升級了病毒庫，只要升級到8月14日的病毒庫，即可攔截此病毒的入侵。

江民反病毒專家建議廣大用戶：

1. 安裝KV2007的防毒軟體，開啟每天定時升級病毒庫，定時防毒功能，並開啟所有的監控功能。

2. 禁用系統的自動播放功能，防止病毒從隨身碟、移動硬碟、MP3等移動存儲設備進入到計算機。

禁用Windows 系統的自動播放功能的方法：在運行中輸入 gpedit.msc 後回車，打開組策略編輯器，依次點擊：計算機配置－管理模板－系統－關閉自動播放－已啟用－所有驅動器－確定。

3. 利用Windows Update 功能打全系統補丁，避免病毒從網頁木馬的方式入侵到系統中。