Worm.Win32.VB.fu:病毒資料,病毒描述,行為分析,病毒行為,注,清除

該病毒屬蠕蟲類，病毒運行後衍生病毒檔案到系統目錄下，修改註冊表，添加啟動項，以達到隨機啟動的目的，修改系統時間，修改 IE 主頁，病毒在每個盤符下新建一個 autorun.inf 檔案，使用戶雙擊盤符時自動運行病毒

基本介紹

外文名：Worm.Win32.VB.fu
病毒類型：蠕蟲
危害等級：5
公開範圍：完全公開
檔案長度：19,892位元組

病毒資料,病毒描述,行為分析,病毒行為,注,清除方案,安天木馬防線,手工清除,

病毒資料

病毒名稱： Worm.Win32.VB.fu

檔案 MD5： C98E7DA0F034B3F89D9D5F433B9E40AC

感染系統： Win98 以上系統

開發工具： Microsoft Visual Basic 5.0 / z6.0

加殼類型： NsPacK V3.7

病毒描述

關閉 Cryptographic Services 服務；刪除 GHO 檔案；檢測窗體標題欄中如果含有運行、資料夾選項則關閉窗體；嘗試結束部分反毒軟體的服務，修改檔案 txt 、 ini 、 log 的檔案關聯，當用戶試圖運行 txt 、 ini 、 log 的檔案時，病毒就會運行起來。修改部分正常程式的路徑，當用戶運行這些程式時，實際上運行的是病毒檔案。

行為分析

病毒行為

1 、病毒運行後衍生病毒檔案：

c:\autorun.inf

c:\info.exe

c:\WINDOWS\system32\drivers\IsDrv118.sys

中國網管聯盟

c:\WINDOWS\system32\drivers\IsDrv120.sys

2 、在每個盤符下創建 autorun.inf 和 info.exe 檔案：

D:\autorun.inf

C:\autorun.inf

E:\autorun.inf

C:\autorun.inf

F:\autorun.inf

C:\autorun.inf

G:\autorun.inf

C:\autorun.inf

H:\autorun.inf

C:\autorun.inf

I:\autorun.inf

C:\autorun.inf

J:\autorun.inf

C:\autorun.inf

K:\autorun.inf

C:\autorun.inf

L:\autorun.inf

C:\autorun.inf

M:\autorun.inf

C:\autorun.inf

N:\autorun.inf

C:\autorun.inf

O:\autorun.inf

C:\autorun.inf

P:\autorun.inf

C:\autorun.inf

Q:\autorun.inf

C:\autorun.inf

R:\autorun.inf

C:\autorun.inf

國內最早的網管網站

S:\autorun.inf

C:\autorun.inf

T:\autorun.inf

C:\autorun.inf

U:\autorun.inf

C:\autorun.inf

V:\autorun.inf

C:\autorun.inf

W:\autorun.inf

C:\autorun.inf

X:\autorun.inf

C:\autorun.inf

Y:\autorun.inf

C:\autorun.inf

Z:\autorun.inf

C:\autorun.inf

D:\autorun.inf

E:\autorun.inf

F:\autorun.inf

G:\autorun.inf

H:\autorun.inf

I:\autorun.inf

J:\autorun.inf

K:\autorun.inf

L:\autorun.inf

M:\autorun.inf

N:\autorun.inf

O:\autorun.inf

P:\autorun.inf

Q:\autorun.inf

R:\autorun.inf

S:\autorun.inf

T:\autorun.inf

U:\autorun.inf blog. 網管部落格等你來搏

V:\autorun.inf

W:\autorun.inf

X:\autorun.inf

Y:\autorun.inf

Z:\autorun.inf

C:\info.exe

D:\info.exe

E:\info.exe

F:\info.exe

G:\info.exe

H:\info.exe

I:\info.exe

J:\info.exe

K:\info.exe

L:\info.exe

M:\info.exe

N:\info.exe

O:\info.exe

P:\info.exe

Q:\info.exe

R:\info.exe

S:\info.exe

T:\info.exe

U:\info.exe

V:\info.exe

W:\info.exe

X:\info.exe

Y:\info.exe

Z:\info.exe

3 、當用戶雙擊磁碟盤符時，會自動運行病毒程式， autorun.inf 內容為：

[AUTORUN]

OPEN=info.exe

shell\open=Sb_(&O)

shell\open\Command=info.exe

shell\open\Default=1

blog. 網管部落格等你來搏

Shellexecute=info.exe

4 、修改註冊表，添加啟動項，以達到隨機啟動的目的：

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

鍵值 : 字串 : "B-A-I-D-U-C-O-M"="C:\info.exe"

5 、修改註冊表，使病毒檔案 info.exe 隨系統進程 Explorer.exe 一同啟動：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

新建鍵值 : 字串 : "Shell"="Explorer.exe"

原鍵值 : 字串 : "Shell"="Explorer.exe C:\info.exe"

6 、修改 IE 主頁為百度：

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main

鍵值 : 字串 : "Start Page"="http://www. /"

7 、修改系統時間：

修改系統時間為： 1993 年 9 月 12 日

8 、關閉 Cryptographic Services 服務：

net stop Cryptographic Services

Cryptographic Services 服務描述：提供三種管理服務 : 編錄資料庫服務，它確定

play. 了嗎玩一下吧

Windows 檔案的簽字 ; 受保護的根服務，它從此計算機添加和刪除受信根證書機構的

證書 ; 和密鑰 (Key) 服務，它幫助註冊此計算機獲取證書。如果此服務被終止，這些

管理服務將無法正常運行。如果此服務被禁用，任何依賴它的服務將無法啟動。

9 、搜尋各盤符，刪除 GHO 檔案，使用戶無法使用 GHO 檔案恢復系統。

C:/*.*gho

D:/*.*gho

E:/*.*gho

F:/*.*gho

G:/*.*gho

H:/*.*gho

I:/*.*gho

J:/*.*gho

K:/*.*gho

L:/*.*gho

M:/*.*gho

N:/*.*gho

O:/*.*gho

P:/*.*gho

Q:/*.*gho

R:/*.*gho

S:/*.*gho

T:/*.*gho

U:/*.*gho

V:/*.*gho

W:/*.*gho

X:/*.*gho

Y:/*.*gho

Z:/*.*gho

10 、檢測窗體標題欄中如果含有運行、資料夾選項則關閉窗體：

bitsCN全力打造網管學習平台

關閉視窗標題欄為運行、資料夾選項的窗體，使用戶無法選擇“顯示所有隱藏的檔案”，

無法使用運行視窗開啟 cmd.exe 等程式。

11 、修改 ini 、 log 、 txt 檔案關聯、修改程式路徑關聯，當用戶運行以下正常程式時，

打不開正常程式，且使病毒程式運行：

avp.exe

kwatch.exe

ravmon.exe

icesword.exe

sreng.exe

autorun.exe

rfwmain.exe

ccenter.exe

notepad.exe

mmc.exe

cmd.exe

taskmgr.exe

setup.exe