AUTO病毒 Worm.Autorun.c.17463分析

AUTO病毒 Worm.Autorun.c.17463

解决方案：
该病毒采用和AV终结者类似的手法，改系统时间令卡巴失效，利用移动存储设备的自动播放功能启动。病毒还会释放很多个文件名随机的DLL文件和EXE文件，注入正常程序进程，下载其它木马或安装流氓软件。

因病毒变种较多，手工查杀不易，应优先使用杀毒软件完成清除。当毒霸提示需要重启清除时，一定要重启。毒霸2008的抢先杀毒技术会在重启电脑过程中，将病毒彻底清除。

分析：这是一个AUTO病毒。该病毒运行后，会立即修改系统时间，使依赖时间的杀毒软件立即失效。并且会在各盘中生成AUTO病毒文件。当用户鼠标左键双击进入AUTO病毒的盘时，病毒则触发运行。
1.病毒运行后，生成以下病毒文件
%system32%\C4393B08.DLL
%system32%\ED9825C0.EXE
%system32%\llk1131786170.h
%system32%\n1131786173k.exe
并且在各盘中生成AUTO病毒文件
2.病毒运行成功后会自删除，使用户无法找到病毒源文件。
3.病毒成功运行后，会修改系统时间为2005年，使杀软卡巴斯基的激活码失效，导致用户系统的安全性能大大降低，病毒
可以肆意在机器中进行任何操作。
4.在任务管理器中可以看到病毒进程已经在执行操作，每隔一段时间将会使桌面图标消失，然后再显示出来。
5.打开浏览器时，占用的内存非常高。
6.在各盘中产生的AUTO病毒分别为:autorun.inf和auto.exe，这两个病毒文件都具有隐藏属性，其中auto.exe还有伪装微
软系统文件的属性。当用户左键双击有AUTO病毒的盘时，则会触发病毒且运行起来。
7.当鼠标左键双击进入盘符的时候，会等待一会才进入，而且可以发现进入的时候是另外弹出一个窗口进入的，此时证明
已经触发AUTO病毒，再仔细观察，隐藏文件的属性已经被修改，无法显示隐藏文件。
8.查看启动项，已经被病毒添加了许多的病毒启动项，都随着系统的启动而运行。
9.病毒还会尝试把其他的病毒文件进行复制，当复制到系统盘内则可进行病毒操作。
10.最后导致不段的弹窗口，由于系统资源严重被占用，关闭窗口速度缓慢，所以造成系统严重瘫痪。

防范措施：
1.启用网络防火墙软件，拦截病毒通过网络攻击传播；
2. 使用漏洞修复软件或windows update及时修补系统漏洞，特别需要注意升级IE浏览器。
3. 及时升级杀毒软件，开启实时监控，可有效阻止已知的病毒入侵
4. 关闭windows的自动播放功能，阻止病毒通过U盘传播。可以使用金山清理专家2.1实现，安全百宝箱中有自动运行管理器，将所有驱动器的自动播放关闭就可以。