蠕虫病毒Worm.Win32.Fujack.x分析与清除

　　病毒名称： Worm.Win32.Fujack.x

　　病毒类型： 蠕虫类

　　文件 MD5： 799A9BC4C197EB0AA3873D90F1143EF4

　　公开范围： 完全公开

　　危害等级： 4

　　文件长度： 34,816 字节

　　感染系统： Windows98以上版本

　　加壳类型： nSPack 2.1 - 2.5

　　二、病毒描述：

　　该病毒为蠕虫类，病毒运行后复制自身到系统目录，衍生病毒文件。 修改注册表，添加启动项，以达到随机启动的目的。删除安全相关服务,减弱系统安全性。该病毒具有多种启动方式，而且具有修改注册表隐藏自身的功能；所以发现与清除此病毒用常规方法很难清除掉，生存期会相对较长。该病毒对用户的电脑信息具有严重的威胁。

　　三、行为分析：

　　本地行为:

　　1、 文件运行后会衍生以下文件

　　%DriveLetter%autorun.inf

　　%DriveLetter%setup.exe

　　%WinDir%SchedLgU.Txt

　　%System32%driversspoclss.exe

　　%WinDir%TasksSA.DAT

　　2、 新建注册表

　　[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]

　　注册表值："svcshare"

　　类型： REG_SZ

　　值： " C:WINDOWSsystem32driversspoclss.exe "

　　描述：添加启动项，以达到随机启动的目的

　　3、修改注册表

　　[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue]

　　新: DWORD: 0 (0)

　　旧: DWORD: 1 (0x1)

　　描述：使隐藏文件不可见

　　4、 删除安全相关服务：

　　服务名称：wscsvc

　　显示名称：Security Center

文件路径：%SystemRoot%System32svchost.exe -k netsvcs.

　　启动方式：自动

　　5、在各个驱动器盘符下释放启动文件autorun.inf和与其对应的执行文件setup.exe，autorun.inf内容如下：

　　[AutoRun]

　　OPEN=setup.exe

　　shellexecute=setup.exe

　　shellAutocommand=setup.exe

　　6、将自身添加到Tasks文件夹下的计划任务中，任务计划的相关信息在SchedLgU.Txt内记录

　　7、连接网络获得病毒相关信息(存储在1.txt内)：

　　连接网络：

　　www.2008crazy.com(209.85.84.161:80)

　　详细路径：www.2008crazy.com /ad/test/1.txt

　　注释：

　　%Windir%　　　　　　　　　　　WINDODWS所在目录

　　%DriveLetter%　　　　　　　　逻辑驱动器根目录

　　%ProgramFiles%　　　　　　　　系统程序默认安装目录

　　%HomeDrive%　　　　　　　　　当前启动系统所在分区

　　%Documents and Settings%　　当前用户文档根目录

　　%Temp%　　　　　　　　　　　　当前用户TEMP缓存变量；路径为：

　　%Documents and Settings%当前用户Local SettingsTemp

　　%System32%　　　　　　　　　　是一个可变路径；

　　病毒通过查询操作系统来决定当前System32文件夹的位置；

　　Windows2000/NT中默认的安装路径是　C:WinntSystem32；

　　Windows95/98/Me中默认的安装路径是　C:WindowsSystem；

　　WindowsXP中默认的安装路径是　C:WindowsSystem32。

　　四、 清除方案：

　　1、使用安天木马防线可彻底清除此病毒(推荐)，请到安天网站下载：www.antiy.com 。

　　2、手工清除请按照行为分析删除对应文件，恢复相关系统设置。推荐使用ATool（安天安全管理工具），ATool下载地址: www.antiy.com或http://www.antiy.com/download/index.htm 。

　　(1) 使用安天木马防线或ATool中的“进程管理”关闭病毒进程

　　(2) 强行删除病毒文件

　　%DriveLetter%autorun.inf

　　%DriveLetter%setup.exe

　　%WinDir%SchedLgU.Txt

　　%System32%driversspoclss.exe

　　%WinDir%TasksSA.DAT

　　(3) 恢复病毒修改的注册表项目，删除病毒添加的注册表项

　　删除新建注册表

　　[HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun]

　　注册表值："svcshare"

　　类型： REG_SZ

　　值： " C:WINDOWSsystem32driversspoclss.exe "

　　描述：添加启动项，以达到随机启动的目的

　　恢复修改注册表

　　[HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerAdvancedFolderHiddenSHOWALLCheckedValue]

　　新: DWORD: 0 (0)

　　旧: DWORD: 1 (0x1)

　　描述：使隐藏文件不可见

　　(4) 在注册表中添加下列wscsv服务信息：

　　服务名称：wscsvc

　　显示名称：Security Center

　　描述语言：监视系统安全设置和配置。

　　文件路径：%SystemRoot%System32svchost.exe -k netsvcs.