Worm/Win32.AutoRun.dld

Worm/Win32.AutoRun.dld為蠕蟲類，病毒運行後複製自身到系統目錄，並重命名為svchost.exe，並刪除自身。修改註冊表，添加啟動項，以達到隨機啟動的目的。以病毒副本進程連線網路下載病毒檔案KB930.vxd，並且回傳用戶信息。在註冊表中添加大量映像劫持項，以反制殺軟及安全程式。該病毒還嘗試感染非系統目錄下的exe檔案，添加新的區塊.xue，寫入病毒代碼。

基本介紹

• 病毒名稱：Worm/Win32.AutoRun.dld
• 病毒類型：蠕蟲類
• 公開範圍：完全公開
• 危害等級：4

病毒標籤：

病毒名稱： Worm/Win32.AutoRun.dld

病毒類型： 蠕蟲類

檔案 MD5： E15D30C30B80FA6A7FA0A0A6DC38B87A

公開範圍： 完全公開

危害等級： 4

檔案長度： 28,000 位元組

感染系統： Windows98以上版本

開發工具： Borland Delphi 6.0 - 7.0

加殼類型： WinUpack 0.39 final

清除方案：

1、使用安天防線可徹底清除此病毒(推薦)。

2、手工清除請按照行為分析刪除對應檔案，恢復相關係統設定。

(1) 使用安天防線或ATool中的“進程管理”關閉病毒進程

%WinDir%\Fonts\3e561cba2ae2b8ec95d86f3cf009aabe\system\svchost.exe

(2) 強行刪除病毒檔案

%WinDir%\Fonts\3e561cba2ae2b8ec95d86f3cf009aabe\system\svchost.exe

%WinDir%\Fonts\3e561cba2ae2b8ec95d86f3cf009aabe\system\KB930.vxd

(3) 恢復病毒修改的註冊表項目，刪除病毒添加的註冊表項

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

註冊表值：" TBMExe "

類型： REG_SZ

值： "C:\WINDOWS\Fonts\3e561cba2ae2b8ec95d86f3cf009aabe\system\svchost.exe"

(4) 刪除註冊表中添加的映像劫持項