Worm.Win32.AutoRun.enw

Worm.Win32.AutoRun.enw，計算機病毒。病毒的圖示為一個資料夾用來誘騙用戶點擊運行，病毒運行後釋放ASUS.exe、ACER.exe、MuTemp.exe、jxxgmw.exe、jxxgmw.nls到system32資料夾下。

基本介紹

• 中文名：Worm.Win32.AutoRun.enw
• 病毒類型： 蠕蟲類
• 公開範圍：完全公開
• 危害等級： 5
• 檔案長度：67,260 位元組
• 開發工具：Borland Delphi 6.0 - 7.0

病毒標籤

病毒名稱： Worm.Win32.AutoRun.enw

檔案 MD5： 95d052a6fdd3f92b42d571be0fe80892

感染系統： Windows98以上版本

開發工具： Borland Delphi 6.0 - 7.0

加殼類型： Upack V0.37-V0.39 -> Dwing [Overlay] *

病毒描述

ASUS.exe、ACER.exe、MuTemp.exe是病毒的副本檔案，在病毒運行時同時被運行，實現進程互鎖。jxxgmw.exe和jxxgmw.nls是病毒檔案的備份；病毒在各磁碟分區創建autorun.inf和病毒檔案，用以達到用隨身碟等移動存儲設備傳播的目的；病毒運行後釋放beep.sys檔案，載入此檔案，創建系統服務用來恢復系統的ssdt以此來關閉防毒軟體的主動防禦；病毒修改、刪除註冊表項，使隱藏檔案無法顯示，並使用戶無法更改資料夾選項。病毒添加註冊表，添加自啟動項，添加大量的映像劫持項，用來禁止系統工具如註冊表編輯器、防毒軟和其他安全工具的運行；病毒連線網路更新自身；病毒運行後自刪除。

行為分析

本地行為

1、檔案運行後會釋放以下檔案

%DriveLetter%\ASUS.exe 67,260 位元組

%DriveLetter%\autorun.inf 145 位元組

%HomeDrive%\ASUS.exe 67,260 位元組

%HomeDrive%\autorun.inf 145 位元組

%System32%\ASUS.exe 67,260 位元組

%System32%\ACER.exe 67,260 位元組

%System32%\MuTemp.exe 67,260 位元組

%System32%\jxxgmw.exe 67,260 位元組

%System32%\jxxgmw.nls 67,260 位元組

以下兩個檔案為系統檔案UrlMon.dll，被病毒更改名稱為：

%System32%\musz1s.dll 594,432 位元組

%System32%\musz2s.dll 594,432 位元組

2、進程互鎖

病毒同時運行2個檔案副本ASUS.exe和ACER.exe，當結束其中一個的時候，立即刷新另一個進程重新運行病毒副本，用剩下進程載入另一個檔案，實現進程互鎖。

3、病毒在各磁碟根目錄下建立病毒檔案ASUS.exe和autorun.inf檔案,實現雙擊盤符時運行病毒，及移動存儲設備傳播的目的，autorun.inf內容如下：

[AutoRun]

shell\open=打開(&O)

shell\open\Command=ASUS.exe

shell\open\Default=1

shell\explore=資源管理器(&X)

shell\explore\Command=ASUS.exe

4、還原ssdt

病毒載入beep.sys檔案用其還原系統ssdt使防毒軟體的主動防禦失效，並將其添加到服務當中，是系統每次重新啟動都會載入次驅動，實現防毒軟體的永久失效。

5、刪除註冊表項，破壞安全模式

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

6、通過修改註冊表隱藏檔案

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\.

Folder\Hidden\SHOWALL\CheckedValue]

鍵值: DWORD: 1 (0x1)

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden]

新: DWORD: 0 (0)

舊: DWORD: 1 (0x1)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Type]

新: 字元串: "checkbox2"

舊: 字元串: "checkbox"

7、添加啟動項

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run]

鍵值: ACER.exe

字元串: "C:\WINDOWS\system32\ACER.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run]

鍵值: ASUS.exe

字元串: "C:\WINDOWS\system32\ASUS.exe"

[HKLM\System\CurrentControlSet\Services]

項：RESSDT

符串：c:\windows\system32\drivers\beep.sys

8、映像劫持

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\360rpt.exe]

註冊表值: "Debugger"

類型： REG_SZ

值： "ntsd -d"

同時劫持的字串有：

360rpt.exe

360Safe.exe

360safebox.exe

360tray.exe

adam.exe

AgentSvr.exe

AntiU.exe

AoYun.exe

appdllman.exe

AppSvc32.exe

ArSwp.exe

AST.exe

auto.exe

AutoRun.exe

autoruns.exe

av.exe

AvastU3.exe

avconsol.exe

avgrssvc.exe

AvMonitor.exe

avp.com

avp.exe

AvU3Launcher.exe

CCenter.exe

ccSvcHst.exe

Cleanup.dll

cqw32.exe

cross.exe

Discovery.exe

divx.dll

divxdec.ax

DJSMAR00.dll

DRMINST.dll

EGHOST.exe

EncodeDivXExt.dll

EncryptPatchVer.dll

FileDsty.exe

FTCleanerShell.exe

fullsoft.dll

FYFireWall.exe

GBROWSER.DLL

ghost.exe

guangd.exe

HijackThis.exe

htmlmarq.ocx

htmlmm.ocx

IceSword.exe

iparmo.exe

Iparmor.exe

irsetup.exe

ishscan.dll

isPwdSvc.exe

ISSTE.dll

javai.dll

jvm_g.dll

kabaload.exe

KaScrScn.SCR

KASMain.exe

KASTask.exe

KAV32.exe

KAVDX.exe

KAVPF.exe

KAVPFW.exe

KAVSetup.exe

KAVStart.exe

kernelwind32.exe

KISLnchr.exe

kissvc.exe

KMailMon.exe

KMFilter.exe

KPFW32.exe

KPFW32X.exe

KPfwSvc.exe

KRegEx.exe

KRepair.com

KsLoader.exe

KVCenter.kxp

KvDetect.exe

KvfwMcl.exe

KVMonXP.kxp

KVMonXP_1.kxp

kvol.exe

kvolself.exe

KvReport.kxp

KVScan.kxp

KVSrvXP.exe

KVStub.kxp

kvupload.exe

kvwsc.exe

KvXP.kxp

KvXP_1.kxp

KWatch.exe

KWatch9x.exe

等，其中包括系統工具、各防毒軟體和安全工具。

網路行為

病毒連線網路，更新自身

連線地址：60.190.253.***

病毒運行後向遠程計算機60.190.253.***傳送請求，要求更新病毒程式，當對比發現本地病毒版本較低時，從遠程計算機下載新版本病毒。

註：%System32%是一個可變路徑。病毒通過查詢作業系統來決定當前System資料夾的位置。Windows2000/NT中默認的安裝路徑是C:\Winnt\System32，windows95/98/me中默認的安裝路徑是C:\Windows\System，windowsXP中默認的安裝路徑是C:\Windows\System32。

%Temp% = C:\Documents and Settings\AAAAA\Local Settings\Temp 當前用戶TEMP快取變數

%Windir%\ WINDODWS所在目錄

%DriveLetter%\ 邏輯驅動器根目錄

%ProgramFiles%\ 系統程式默認安裝目錄

%HomeDrive% = C:\ 當前啟動的系統的所在分區

%Documents and Settings%\ 當前用戶文檔根目錄

清除方案

1、使用安天防線可徹底清除此病毒(推薦)。

(1)使用ATOOL結束病毒進程ASUS.exe，ACER.exe。（注意：由於進程互鎖的原因，要一起結束所有運行的病毒進程。）

(2) 刪除病毒檔案

%DriveLetter%\ASUS.exe 67,260 位元組

%DriveLetter%\autorun.inf 145 位元組

%HomeDrive%\ASUS.exe 67,260 位元組

%HomeDrive%\autorun.inf 145 位元組

%System32%\ASUS.exe 67,260 位元組

%System32%\ACER.exe 67,260 位元組

%System32%\MuTemp.exe 67,260 位元組

%System32%\jxxgmw.exe 67,260 位元組

%System32%\jxxgmw.nls 67,260 位元組

%System32%\musz1s.dll 594,432 位元組

%System32%\musz2s.dll 594,432 位元組

(3) 從其他XP系統的機器上拷貝檔案UrlMon.dll放到%System32%目錄下。

(4) 恢復註冊表

1.用註冊表工具刪除以下註冊表項

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run]

鍵值: ACER.exe

字元串: "C:\WINDOWS\system32\ACER.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\run]

鍵值: ASUS.exe

字元串: "C:\WINDOWS\system32\ASUS.exe"

[HKLM\System\CurrentControlSet\Services]

項：RESSDT

符串：c:\windows\system32\drivers\beep.sys

2.將一下項目導入到註冊表中：

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Minimal\

{4D 36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\

{4D36E967-E325-11CE-BFC1-08002BE10318}\@]

鍵值: 字元串: "DiskDrive"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder

\Hidden\SHOWALL\CheckedValue]

鍵值: DWORD: 1 (0x1)

3.將一下鍵值改回原鍵值：

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced\ShowSuperHidden]

新: DWORD: 0 (0)

舊: DWORD: 1 (0x1)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden\Type]

新: 字元串: "checkbox2"

舊: 字元串: "checkbox"