Worm.Win32.Delf.bg（Kaspersky）病毒又名，Worm.MYGOD.a.30001（毒霸），Worm.Delf.dy（瑞星），加殼方式是PE_Patch.UPX UPX。
基本介紹
- 外文名：worm.delf.bg
- 最近更新時間：2007年2月7日
- 發現時間：2007年2月
- 病毒大小：18,432位元組（30,001 位元組）
病毒簡介,技術分析,清除步驟,
病毒簡介
樣本MD5：c773bd861b2c32d88da59cc3f6c4a604（00ea5b91a6166c096a1d7e5816183eab）
樣本SHA1：58c26dd583e3c70f5fde5d7892bedd9684d705b5（5ec2b00e7cec6edc34e6b2747b732fe02aa16954）
關聯病毒：
傳播方式：惡意網頁、其它病毒下載，感染exe檔案，可通過移動存儲設備（隨身碟等）傳播
技術分析
==========
病毒運行後釋放自身副本到系統system目錄：
%Windows%\system\internat.exe
並運行，加開關參數/sleepdown。
使用批處理{原檔案名稱}.bat刪除自身原檔案，{原檔案名稱}.bat內容：
[Copy to clipboard]
CODE:
:try
del "exe"
if exist "exe" goto try
del %0
向各分區目錄複製副本，創建autorun.inf：
X:\setup.exe
X:\autorun.inf
autorun.inf內容：
[Copy to clipboard]
CODE:
[AutoRun]
OPEN=setup.exe
shellexecute=setup.exe
shell\打開(&O)\command=setup.exe
病毒感染分系統分區下的所有exe檔案，使用dir命令收集非系統分區下的所有exe檔案列表：
[Copy to clipboard]
CODE:
dir *.exe /s /b＞%Windows%\win.log
被感染檔案運行後釋放病毒體（大小30001位元組）到C糟根目錄並運行：
C:\_.de
%Windows%\system\internat.exe開關參數/update，嘗試訪問網路下載其它病毒或惡意程式，保存到以下位置並運行：
%Windows%\system\SYSTEM32.vxd（加密檔案列表）
%Windows%\system\1.exe
%Windows%\system\2.exe
%Windows%\system\3.exe
%Windows%\system\4.exe
%Windows%\system\5.exe
%Windows%\system\6.exe
%Windows%\system\7.exe
%Windows%\system\8.exe
%Windows%\system\9.exe
%Windows%\system\10.exe
%Windows%\system\svchost.exe
病毒內發現有如下信息：
[Copy to clipboard]
CODE:
MYGOD
this is the Rav get all path administrators
.....................卡巴 我恨你...............
清除步驟
==========
1. 結束病毒進程：
%Windows%\system\internat.exe
2. 刪除病毒檔案：
%Windows%\system\internat.exe
3. 通過資料夾樹形結構目錄進入分區根目錄，刪除病毒檔案：
X:\setup.exe
X:\autorun.inf
4. 刪除C糟根目錄下的病毒檔案（可能存在）：
C:\_.de
5. 刪除病毒下載的其它病毒或惡意程式（可能存在）：
%Windows%\system\SYSTEM32.vxd
%Windows%\system\1.exe
%Windows%\system\2.exe
%Windows%\system\3.exe
%Windows%\system\4.exe
%Windows%\system\5.exe
%Windows%\system\6.exe
%Windows%\system\7.exe
%Windows%\system\8.exe
%Windows%\system\9.exe
%Windows%\system\10.exe
%Windows%\system\svchost.exe
6. 使用反病毒軟體進行全盤掃描，清除被感染的exe檔案
專殺軟體
==========
（1）奇諾專殺
Anti-Virus Tools 2007 (多語言版) Version: 2.1.5 - 070410.2
