至顶网›安全频道 ›Worm.Win32.AutoRun.cnv分析

Worm.Win32.AutoRun.cnv分析

扫一扫
分享文章到微信
扫一扫
关注官方公众号
至顶头条

Worm.Win32.AutoRun.cnv病毒运行后复制自身到%System32%及附属目录下;复制自身到C至K盘的根目录下，并衍生autorun.inf文件，使病毒在双击打开盘符时运行。

作者：安天CERT 来源：IT专家网 2008年4月25日

关键字： rfwproxy.exe rfwproxy.exe是什么 rfwproxy.exe错误

在本页阅读全文(共2页)

　　代码分析

　　1、进程监视代码

　　代码分析

　　2、标题栏指定字符串监视代码

　　代码分析

　　清除方案：

　　1、使用安天防线可彻底清除此病毒(推荐)。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。

　　(1) 使用安天防线附属工具Atool文件管理功能删除病毒文件

%System%drivers\svchost.exe
　　%System%\microsoft.exe
　　%System%\SP00LV.exe
　　%Documents and Settings%\Administrator\Local Settings\Temp\rs.bat
　　%HomeDrive%\setup.exe
　　%HomeDrive%\AutoRun.inf
　　%DriveLetter%\setup.exe
　　%DriveLetter%\AutoRun.inf

　　(2) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

　　删除如下注册表项

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

　　注册表值: "Internat"

　　类型： REG_SZ

　　值： "C:\WINDOWS\system32\microsoft.exe"

　　[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

　　注册表值: "Program Files"

　　类型： REG_SZ

　　值： "C:\WINDOWS\system32\SP00LV.exe"

　　[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Winnet COM+]

　　注册表值: "DisplayName